Tandoor Recipesは、BasicAuthenticationを介した無制限のブルートフォース攻撃に対して脆弱です

Tandoor RecipesのCVE-2026-33152脆弱性は、2.6.0より前のバージョンに影響します。このアプリケーションは、Django REST FrameworkをBasicAuthenticationをデフォルトの認証バックエンドの1つとして構成しています。AllAuthはHTMLベースのログインエンドポイント(/accounts/login/)に対してレート制限を実装していますが、このメカニズムはAPIエンドポイントには適用されません。攻撃者は、Basic認証ヘッダー（Authorization: Basic <base64エンコードされたユーザー名:パスワード>）を使用して、任意のAPIエンドポイントに認証されたリクエストを送信することで、この脆弱性を悪用できます。これにより、機密データへの不正アクセス、レシピの変更、買い物リストの操作、またはAPIエンドポイントに割り当てられた権限に応じて、他のユーザーの代わりにアクションを実行することが可能になる可能性があります。

Organizations and individuals using Tandoor Recipes for recipe management and meal planning are at risk, particularly those relying on the application's API for integration with other services. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's account could potentially lead to access to other users' data.

• python / server:

# Check for Tandoor Recipes version
python -c "import tandoor_recipes; print(tandoor_recipes.__version__)"

• generic web:

# Check for API endpoints accepting Basic Authentication
curl -u 'user:password' https://<target>/api/recipes

• generic web:

# Check access logs for repeated failed authentication attempts
grep "401 Unauthorized" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-26
3. EPSS 更新日2026-04-03

推奨される解決策は、Tandoor Recipesをバージョン2.6.0以降に更新することです。このバージョンは、BasicAuthenticationをデフォルトで無効にすることで脆弱性を修正します。追加の対策として、バージョン2.6.0に更新した場合でも、Django REST Framework構成でBasicAuthenticationを明示的に無効にすることをお勧めします。さらに、APIエンドポイントへのアクセス制御を見直し、強化して、許可されたユーザーのみがアクセスできるようにする必要があります。二要素認証（2FA）を実装すると、追加のセキュリティレイヤーを提供できます。