Tandoor Recipes — приложение для управления рецептами, планирования блюд и составления списков покупок. Версии до 2.5.3 включительно устанавливают ALLOWED_HOSTS = '*' по умолчанию, что заставляет Django принимать любое значение в заголовке HTTP Host без проверки. Приложение использует request.build_absolute_uri() для создания абсолютных URL-адресов в различных контекстах, включая электронные письма с пригласительными ссылками, разбиение на страницы API и создание схемы OpenAPI.
Злоумышленник, который может отправлять запросы к приложению с помощью созданного заголовка Host, может манипулировать всеми абсолютными URL-адресами, сгенерированными сервером. Наиболее критическим воздействием является отравление пригласительной ссылки: когда администратор создает приглашение и приложение отправляет электронное письмо с приглашением, ссылка указывает на сервер злоумышленника, а не на реальное приложение. Когда жертва нажимает на ссылку, токен приглашения отправляется злоумышленнику, который затем может использовать его в реальном приложении.
На момент публикации неизвестно, доступна ли исправленная версия.
Показать оригинальное описание (EN)
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Versions up to and including 2.5.3 set ALLOWED_HOSTS = '*' by default, which causes Django to accept any value in the HTTP Host header without validation. The application uses request.build_absolute_uri() to generate absolute URLs in multiple contexts, including invite link emails, API pagination, and OpenAPI schema generation. An attacker who can send requests to the application with a crafted Host header can manipulate all server-generated absolute URLs. The most critical impact is invite link poisoning: when an admin creates an invite and the application sends the invite email, the link points to the attacker's server instead of the real application. When the victim clicks the link, the invite token is sent to the attacker, who can then use it at the real application. As of time of publication, it is unknown if a patched version is available.
Характеристики атаки
Последствия
Строка CVSS v3.1