Tandoor Recipes kwetsbaar voor onbeperkte brute-force via BasicAuthentication

De CVE-2026-33152-kwetsbaarheid in Tandoor Recipes treft versies vóór 2.6.0. De applicatie configureert Django REST Framework met BasicAuthentication als een van de standaard authenticatie backends. Hoewel AllAuth rate limiting implementeert voor het HTML-gebaseerde login endpoint (/accounts/login/), is dit mechanisme niet van toepassing op API-endpoints. Een aanvaller kan dit misbruiken door geauthenticeerde verzoeken naar elk API-endpoint te sturen met behulp van Basic Authentication headers (Authorization: Basic <gebruikersnaam:wachtwoord gecodeerd in Base64>). Dit kan leiden tot ongeautoriseerde toegang tot gevoelige gegevens, wijziging van recepten, manipulatie van winkel lijsten of zelfs acties die namens andere gebruikers worden uitgevoerd, afhankelijk van de toegestane rechten op de API-endpoints.

Organizations and individuals using Tandoor Recipes for recipe management and meal planning are at risk, particularly those relying on the application's API for integration with other services. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's account could potentially lead to access to other users' data.

• python / server:

# Check for Tandoor Recipes version
python -c "import tandoor_recipes; print(tandoor_recipes.__version__)"

• generic web:

# Check for API endpoints accepting Basic Authentication
curl -u 'user:password' https://<target>/api/recipes

• generic web:

# Check access logs for repeated failed authentication attempts
grep "401 Unauthorized" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-03-26
3. EPSS bijgewerkt2026-04-03

De aanbevolen oplossing is om Tandoor Recipes te updaten naar versie 2.6.0 of hoger. Deze versie lost de kwetsbaarheid op door BasicAuthentication standaard uit te schakelen. Als extra maatregel schakelt u BasicAuthentication expliciet uit in de Django REST Framework-configuratie, zelfs als u al bent bijgewerkt naar versie 2.6.0. Controleer en versterk bovendien toegangscontroles voor API-endpoints om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben. Het implementeren van two-factor authenticatie (2FA) kan een extra beveiligingslaag bieden.