टंदूर रेसिपीज़ (Tandoor Recipes) में ब्लाइंड एसएसआरएफ (SSRF) भेद्यता, आंतरिक नेटवर्क एक्सेस के माध्यम से रेसिपी इम्पोर्ट (Recipe Import) के कारण

यह SSRF भेद्यता हमलावरों को Tandoor Recipes सर्वर के माध्यम से किसी भी आंतरिक या बाहरी URL पर अनुरोध करने की अनुमति देती है। चूंकि यह भेद्यता प्रमाणित उपयोगकर्ताओं के लिए भी मौजूद है, इसलिए मानक उपयोगकर्ताओं के पास भी आंतरिक सेवाओं तक पहुंच हो सकती है जिन्हें अन्यथा दुर्गम माना जाता है। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, आंतरिक सेवाओं को स्कैन कर सकते हैं, या अन्य आंतरिक प्रणालियों पर हमले शुरू कर सकते हैं। इस भेद्यता का उपयोग डेटा चोरी, सेवा से इनकार (DoS) हमलों या आंतरिक नेटवर्क में आगे बढ़ने के लिए किया जा सकता है।

Organizations using Tandoor Recipes for recipe management and meal planning are at risk, particularly those with standard users who have access to the Cookmate recipe import feature. Shared hosting environments where multiple users share the same Tandoor Recipes instance are also at increased risk, as a compromised user account could be used to exploit the vulnerability.

• python / server:

# Check for vulnerable versions
python -c 'import tandoor_recipes; print(tandoor_recipes.__version__)'

• generic web:

# Check for Cookmate integration endpoint
curl -I http://your-tandoor-recipes-server/cookbook/integration/cookmate.py

1. 2026-02-13Disclosure

   disclosure

1. आरक्षित2026-02-09
2. प्रकाशित2026-02-13
3. EPSS अद्यतन2026-03-23

CVE-2026-25991 को कम करने के लिए, Tandoor Recipes को संस्करण 2.5.1 या बाद के संस्करण में तुरंत अपडेट करें। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करें जो SSRF हमलों को ब्लॉक कर सके। Cookmate रेसिपी आयात सुविधा को अक्षम करने पर भी विचार करें यदि इसका उपयोग नहीं किया जा रहा है। सुनिश्चित करें कि सभी आंतरिक सेवाओं को उचित रूप से सुरक्षित किया गया है और बाहरी पहुंच से सुरक्षित है। अपग्रेड के बाद, यह सत्यापित करें कि Cookmate रेसिपी आयात सुविधा अब SSRF हमलों के प्रति संवेदनशील नहीं है, एक आंतरिक संसाधन पर अनुरोध करके और यह सुनिश्चित करके कि यह अपेक्षित रूप से विफल हो जाता है।