तंदूर रेसिपीज़ (Tandoor Recipes) बेसिक ऑथेंटिकेशन (BasicAuthentication) के माध्यम से अनियंत्रित ब्रूट-फोर्स (Unrestricted Brute-Force) के लिए असुरक्षित

Tandoor Recipes में CVE-2026-33152 भेद्यता 2.6.0 से पहले के संस्करणों को प्रभावित करती है। यह एप्लिकेशन Django REST Framework को डिफ़ॉल्ट प्रमाणीकरण बैकएंड के रूप में BasicAuthentication के साथ कॉन्फ़िगर करता है। हालाँकि AllAuth HTML-आधारित लॉगिन एंडपॉइंट (/accounts/login/) के लिए दर सीमित करता है, लेकिन यह तंत्र API एंडपॉइंट पर लागू नहीं होता है। एक हमलावर Basic प्रमाणीकरण शीर्षलेखों (Authorization: Basic <base64 एन्कोडेड उपयोगकर्ता नाम: पासवर्ड>) का उपयोग करके किसी भी API एंडपॉइंट पर प्रमाणित अनुरोध भेजकर इस भेद्यता का फायदा उठा सकता है। इससे संवेदनशील डेटा तक अनधिकृत पहुंच, व्यंजनों का संशोधन, खरीदारी सूची का हेरफेर या API एंडपॉइंट को असाइन किए गए अनुमतियों के आधार पर अन्य उपयोगकर्ताओं की ओर से कार्रवाई करना संभव हो सकता है।

Organizations and individuals using Tandoor Recipes for recipe management and meal planning are at risk, particularly those relying on the application's API for integration with other services. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's account could potentially lead to access to other users' data.

• python / server:

# Check for Tandoor Recipes version
python -c "import tandoor_recipes; print(tandoor_recipes.__version__)"

• generic web:

# Check for API endpoints accepting Basic Authentication
curl -u 'user:password' https://<target>/api/recipes

• generic web:

# Check access logs for repeated failed authentication attempts
grep "401 Unauthorized" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-26
3. EPSS अद्यतन2026-04-03

अनुशंसित समाधान Tandoor Recipes को संस्करण 2.6.0 या बाद के संस्करण में अपडेट करना है। यह संस्करण BasicAuthentication को डिफ़ॉल्ट रूप से अक्षम करके भेद्यता को ठीक करता है। एक अतिरिक्त उपाय के रूप में, यदि आपने संस्करण 2.6.0 में अपडेट किया है, तो Django REST Framework कॉन्फ़िगरेशन में BasicAuthentication को स्पष्ट रूप से अक्षम करें। इसके अलावा, API एंडपॉइंट पर एक्सेस नियंत्रण की समीक्षा और मजबूत करें ताकि केवल अधिकृत उपयोगकर्ताओं को ही पहुंच प्राप्त हो। दो-कारक प्रमाणीकरण (2FA) को लागू करने से एक अतिरिक्त सुरक्षा परत प्रदान की जा सकती है।