CVE-2026-101033

ŚrednieCVSS 4.3

Opublikowano: 27/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 27/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

KitchenOwl do wersji 0.7.10 nie weryfikuje, czy identyfikatory kategorii należą do gospodarstwa domowego wywołującego w operacjach wydatków i pozycji. Uwierzytelnieni atakujący mogą enumerować identyfikatory kategorii z innych gospodarstw, aby odczytać ich nazwy kategorii, budżety i kolory, łamiąc izolację gospodarstw.

Ocena ryzyka

Ryzyko naruszenia prywatności danych między gospodarstwami domowymi, co może prowadzić do ujawnienia poufnych informacji finansowych.

Rekomendacja

Zaktualizuj KitchenOwl do wersji nowszej niż 0.7.10, która zawiera poprawkę weryfikacji przynależności kategorii do gospodarstwa.

Inne podatności w KitchenOwl

CVE-2026-111899Średnie
KitchenOwl do wersji 0.7.10 zawiera podatność SSRF w imporcie przepisów, która pozwala uwierzytelnionym członkom gospodarstwa domowego na obejście filtrowania IP poprzez drugie nieprzefiltrowane pobranie. Atakujący mogą hostować stronę zatytułowaną KitchenOwl pod adresem URL pasującym do /recipe/<id>. Następnie wywołanie requests.get() może zostać przekierowane lub poddane DNS rebindingowi na adresy loopback, sieci prywatnej lub metadanych chmury, ujawniając wewnętrzne usługi.

Oryginalny opis (angielski, źródło NVD)

KitchenOwl through 0.7.10 fails to verify that category IDs belong to the caller's household in expense and item operations. Authenticated attackers can enumerate category IDs from other households to read their category names, budgets, and colors, breaking household isolation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS