- Yama var
- Son 7 gün
- CWE-863
CVE-2026-112342
Tandoor Recipes'ta alanlar arası önbellek yetkilendirme zehirlenmesi
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Tandoor Recipes 2.7.0 öncesi sürümlerde, cookbook/helper/permission_helper.py dosyasındaki önbellek anahtarı tasarımı hatalıdır. Bu anahtar yalnızca kullanıcı kimliğine göre oluşturulmakta ve etkin alan (space) bilgisi dikkate alınmamaktadır. Ayrıca önbellekteki kayıtların yaşam süresi (TTL) her istekte yenilenmektedir. Bu nedenle kimliği doğrulanmış kullanıcılar, farklı alanlar arasında eski grup tabanlı yetkilerini koruyabilmektedir. Saldırganlar kendi alanlarını oluşturarak yönetici grubu atamasını elde edebilir, ardından daha düşük yetkilere sahip oldukları bir kurban alanına geçebilir. Bu durumda eski önbelleğe alınmış yönetici kararı, yükseltilmiş erişime izin vererek birden fazla yetki sınıfı ve görünümde grup iptallerinin veya yetki düşürmelerinin atlatılmasına neden olmaktadır.
Kaynaktaki açıklama (İngilizce)
Tandoor Recipes before 2.7.0 contains an improper cache-key design in cookbook/helper/permission_helper.py that allows authenticated users to retain stale group-based permissions across different spaces by exploiting a cache key keyed only on user id while omitting the active space, with the cached entry's TTL refreshed on every request. Attackers can create their own space to obtain an admin group designation, then switch their active space to a victim space where they hold lesser privileges, causing the stale cached admin decision to authorize elevated access and bypass group revocations or demotions across multiple permission classes and views.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Tandoor Recipes | < 2.7.0 | 2.7.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.