CVE-2026-33149
Tandoor Recipes уязвим к инъекции заголовка Host
- Опубликовано
- 26 мар. 2026 г.
- Обновлено
- 30 мар. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:NНизкий · следующие 30 дней
- Процентиль
- 30,3 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Tandoor Recipes — это приложение для управления рецептами, планирования приёмов пищи и составления списков покупок. В версиях до 2.5.3 включительно параметр ALLOWED_HOSTS = '*' задан по умолчанию, из-за чего Django принимает любое значение в заголовке HTTP Host без проверки. Приложение использует request.build_absolute_uri() для генерации абсолютных URL-адресов в нескольких контекстах, включая письма со ссылками-приглашениями, пагинацию API и генерацию схемы OpenAPI. Злоумышленник, который может отправлять запросы к приложению с подделанным заголовком Host, способен манипулировать всеми генерируемыми сервером абсолютными URL-адресами. Наиболее критичное воздействие — отравление ссылок-приглашений: когда администратор создаёт приглашение и приложение отправляет письмо с приглашением, ссылка указывает на сервер злоумышленника вместо реального приложения. Когда жертва переходит по ссылке, токен приглашения отправляется злоумышленнику, который затем может использовать его в реальном приложении. На момент публикации неизвестно, доступна ли исправленная версия.
Источники
Эксплойт proof-of-concept для CVE-2026-33149 — инъекция заголовка Host в Tandoor Recipes, позволяющая осуществлять отравление пригласительных ссылок и отравление кэша. Включает модули для принятия хоста, пагинации, схемы и отравления приглашений.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.