CVE-2026-25964: Divulgação de Arquivo Local Autenticada (LFD) via Importação de Receitas leva à Leitura Arbitrária de Arquivos

Resumo

Uma vulnerabilidade de Path Traversal (CWE-22) indevidamente autorizada no fluxo de trabalho RecipeImport do Tandoor Recipes permite que usuários autenticados com permissões de importação leiam arquivos arbitrários no servidor. Esta vulnerabilidade decorre da falta de validação de entrada no parâmetro file_path e de verificações insuficientes no backend de armazenamento Local, permitindo que um atacante contorne as restrições do diretório de armazenamento e acesse arquivos sensíveis do sistema (por exemplo, /etc/passwd) ou arquivos de configuração da aplicação (por exemplo, settings.py), potencialmente levando ao comprometimento total do sistema.

Detalhes

A vulnerabilidade existe devido à falha em validar a entrada fornecida pelo usuário em relação à raiz de armazenamento pretendida da aplicação.

1. Entrada de Caminho de Arquivo Irrestrita (CWE-73): O endpoint /api/recipe-import/ permite que usuários autenticados criem um objeto RecipeImport com um file_path e backend de storage arbitrários. Nenhuma validação é realizada para garantir que o file_path esteja dentro do diretório de armazenamento configurado.
2. Path Traversal no Provedor de Armazenamento (CWE-22): O método Local.get_file em cookbook/provider/local.py processa a solicitação de recuperação de arquivo:
   root@kitploit:~

   @staticmethod
   def get_file(recipe):
       # VULNERABILIDADE: Abre diretamente o caminho especificado em recipe.file_path
       # sem verificar se está dentro do diretório raiz de armazenamento.
       file = io.BytesIO(open(recipe.file_path, 'rb').read())
       return file
   

   Esta implementação confia cegamente no caminho armazenado no objeto de receita, permitindo que caminhos absolutos (por exemplo, /etc/passwd) ou caminhos relativos (por exemplo, ../../app/config.py) sejam abertos.

Quando um objeto RecipeImport é convertido em um Recipe via a ação import_recipe, o caminho malicioso é persistido. Uma chamada subsequente a get_recipe_file aciona a operação de leitura vulnerável, retornando o conteúdo do arquivo ao usuário.

PoC

Pré-requisitos: Uma conta de usuário autenticada com permissões para importar receitas. Por padrão, esta permissão pode ser restrita, mas se concedida a funções de privilégios mais baixos, o impacto aumenta significativamente. Mesmo para administradores, isso representa uma violação do limite de segurança, pois permissões de nível de aplicação não devem conceder acesso de leitura em nível de sistema de arquivos.

Passo 1: Criar um Objeto de Importação Malicioso Envie uma solicitação POST para criar um objeto RecipeImport apontando para o arquivo alvo (por exemplo, /etc/passwd).

(Nota: storage: 1 normalmente corresponde ao Armazenamento Local padrão. Ajuste se necessário.)

Passo 2: Converter Importação em Receita Acione o processo de importação para criar um objeto Recipe persistente. Observe o import_id (por exemplo, 4) retornado no Passo 1.

(Substitua <IMPORT_ID> pelo ID da resposta do Passo 1. Esta solicitação retornará o novo recipe_id (por exemplo, 34)

Passo 3: Baixar o Arquivo Arbitrário Acesse o arquivo via o endpoint de arquivo de receita usando o novo id da receita retornado no Passo 2 (por exemplo, 34).

Resultado: O servidor retorna o conteúdo de /etc/passwd, confirmando a vulnerabilidade LFD.

Impacto

• Tipo de Vulnerabilidade: Path Traversal (CWE-22), Controle Externo do Nome ou Caminho do Arquivo (CWE-73).
• Severidade: Alta.
• Consequências:
  1. Comprometimento do Sistema: A capacidade de ler /etc/passwd permite a enumeração de usuários do sistema.
  2. Divulgação de Segredos da Aplicação: Um atacante pode ler arquivos de configuração autenticados como /opt/recipes/recipes/settings.py (confirmado em testes) ou .env. Isso expõe a SECRET_KEY (permitindo falsificação de sessão) e as Credenciais do Banco de Dados (permitindo acesso direto ao banco de dados).
  3. Vazamento de Código-Fonte: A exposição do código-fonte da aplicação limita a defesa de "segurança por obscuridade" e auxilia na descoberta de vulnerabilidades adicionais.