CVE-2026-33149 — Внедрение Host Header в Tandoor Recipes

---

Краткое описание

Tandoor Recipes по умолчанию устанавливает ALLOWED_HOSTS = '*' в settings.py, из-за чего Django принимает любое значение в HTTP-заголовке Host без проверки. Приложение использует request.build_absolute_uri() для генерации абсолютных URL-адресов в нескольких контекстах, критичных для безопасности. Злоумышленник, способный отправлять запросы с подделанным заголовком Host, может перенаправить все генерируемые сервером URL-адреса на контролируемый злоумышленником домен.

Наиболее критичное воздействие — отравление ссылок приглашений: когда администратор создаёт приглашение пользователя, отправляемое сервером письмо содержит ссылку, указывающую на домен злоумышленника. Жертва переходит по ссылке из легитимно выглядящего письма, токен приглашения перехватывается, и злоумышленник использует его для захвата процесса предоставления учётной записи.

Детали уязвимости

Поле	Значение
CVE ID	CVE-2026-33149
GHSA	GHSA-x636-4jx6-xc4w
CWE	CWE-644 — Некорректная нейтрализация HTTP-заголовков для синтаксиса скриптов
CVSS v3.1	8.1 HIGH — AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N
Затронутая версия	Tandoor Recipes ≤ 2.5.3
Поставщик	TandoorRecipes/recipes

Сопоставление с MITRE ATT&CK

ID техники	Название	Актуальность
T1557	Злоумышленник посередине	Манипулирование генерируемыми сервером URL-адресами для перенаправления трафика
T1566.002	Фишинг: ссылка в целевой фишинговой атаке	Отравленное письмо с приглашением содержит ссылку, контролируемую злоумышленником

---

Анализ первопричины

1. Подстановочный ALLOWED_HOSTS

Файл: recipes/settings.py:118

ALLOWED_HOSTS = extract_comma_list('ALLOWED_HOSTS', '*')  # default: wildcard

ALLOWED_HOSTS в Django — это мера безопасности, которая проверяет заголовок Host по белому списку. Подстановочный символ '*' полностью отключает эту проверку, позволяя использовать любое произвольное значение.

2. Небезопасная генерация URL-адресов в письмах с приглашениями

Файл: cookbook/serializer.py:1852-1853

message += _('Click the following link to activate your account: ') + self.context[
    'request'].build_absolute_uri(
    reverse('view_invite', args=[str(obj.uuid)])
) + '\n\n'

request.build_absolute_uri() создаёт URL-адреса с использованием request.get_host(), который возвращает необработанное значение заголовка Host, когда ALLOWED_HOSTS его не ограничивает. UUID приглашения — секретный токен — встраивается в URL-адрес, который теперь указывает на злоумышленника.

3. Дополнительные затронутые поверхности

• Пагинация API — классы пагинации DRF используют build_absolute_uri() для URL-адресов next/previous
• Схема OpenAPI — генератор схем использует её для URL-адресов сервера
• Отравление кэша — развёртывания с кэширующими прокси рискуют обслуживать отравленные URL-адреса для всех пользователей из одного запроса

---

Схема атаки

┌──────────┐     ① Подделанный запрос      ┌─────────────────┐
│ Злоумыш- │ ──────────────────────────────→│  Сервер Tandoor │
│ ленник   │   Host: attacker.com           │  ALLOWED_HOSTS=*│
└──────────┘                                └────────┬────────┘
                                                     │
                                          ② build_absolute_uri()
                                             использует "attacker.com"
                                                     │
                                                     ▼
                                            ┌────────────────┐
                                            │  SMTP-сервер   │
                                            └────────┬───────┘
                                                     │
                                       ③ Письмо с отравленной ссылкой:
                                       http://attacker.com/invite/<uuid>
                                                     │
                                                     ▼
                                            ┌────────────────┐
                                            │    Жертва      │
                                            │ (переходит по  │
                                            │    ссылке)     │
                                            └────────┬───────┘
                                                     │
                                          ④ UUID отправлен злоумышленнику
                                                     │
                                                     ▼
                                            ┌────────────────┐
                                            │  Злоумышленник │
                                            │ использует UUID│
                                            │ на реальном    │
                                            │ сервере        │
                                            └────────────────┘

---

Доказательство концепции

Требования

• Python 3.8+
• Библиотека requests

pip install requests

Использование

# Запуск всех модулей проверки с базовой аутентификацией
python3 poc.py --target http://localhost:8085 \
               --basic-auth admin:password \
               --attacker evil.com \
               --module all

# Запуск всех модулей с сессионными cookie
python3 poc.py --target http://target:8085 \
               --session <sessionid> \
               --csrf <csrftoken> \
               --attacker evil.com \
               --module all

# Только отравление ссылки приглашения
python3 poc.py --target http://target:8085 \
               --session <sessionid> \
               --csrf <csrftoken> \
               --attacker evil.com \
               --module invite \
               --email [email protected] \
               --group-id 1

Модули

Модуль	Описание
host-accept	Проверяет, что цель принимает произвольные заголовки Host (ALLOWED_HOSTS = '*')
pagination	Подтверждает, что URL-адреса пагинации API отражают внедрённый домен
schema	Подтверждает, что URL-адреса сервера в схеме OpenAPI отражают внедрённый домен
invite	Создаёт отравленную ссылку приглашения — основной вектор атаки
all	Запускает все модули последовательно

Ручная проверка (curl)

1. Принятие заголовка Host

curl -s -o /dev/null -w "%{http_code}" \
  http://TARGET:8085/api/user/ \
  -H "Host: attacker.com" \
  -u "admin:password"
# Ожидается: 200 (уязвимо) | 400 (исправлено)