Tandoor Recipes vulnerável a ataque de força bruta irrestrito via BasicAuthentication

A vulnerabilidade CVE-2026-33152 no Tandoor Recipes afeta versões anteriores a 2.6.0. O aplicativo configura o Django REST Framework com BasicAuthentication como um dos backends de autenticação padrão. Embora o AllAuth implemente limitação de taxa para o endpoint de login baseado em HTML (/accounts/login/), este mecanismo não se aplica aos endpoints de API. Um atacante pode explorar isso enviando solicitações autenticadas para qualquer endpoint de API usando cabeçalhos de autenticação Basic (Authorization: Basic <nome de usuário:senha codificados em Base64>). Isso pode levar ao acesso não autorizado a dados confidenciais, modificação de receitas, manipulação de listas de compras ou até mesmo ações executadas em nome de outros usuários, dependendo das permissões atribuídas aos endpoints de API.

Organizations and individuals using Tandoor Recipes for recipe management and meal planning are at risk, particularly those relying on the application's API for integration with other services. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's account could potentially lead to access to other users' data.

• python / server:

# Check for Tandoor Recipes version
python -c "import tandoor_recipes; print(tandoor_recipes.__version__)"

• generic web:

# Check for API endpoints accepting Basic Authentication
curl -u 'user:password' https://<target>/api/recipes

• generic web:

# Check access logs for repeated failed authentication attempts
grep "401 Unauthorized" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-26
3. EPSS atualizado2026-04-03

A solução recomendada é atualizar o Tandoor Recipes para a versão 2.6.0 ou posterior. Esta versão corrige a vulnerabilidade desativando o BasicAuthentication por padrão. Como medida adicional, desative explicitamente o BasicAuthentication na configuração do Django REST Framework, mesmo que você tenha atualizado para a versão 2.6.0. Além disso, revise e fortaleça os controles de acesso aos endpoints de API para garantir que apenas usuários autorizados possam acessá-los. Implementar autenticação de dois fatores (2FA) pode fornecer uma camada adicional de segurança.