CVE-2026-93736
ŚrednieCVSS 4.3Streszczenie
Mealie przed wersją 3.21.0 nie waliduje własności użytkownika w endpointach ocen i ulubionych, co pozwala uwierzytelnionym atakującym odczytywać oceny i ulubione przepisów dowolnego użytkownika, podając dowolne identyfikatory użytkowników w ścieżce URL. Atakujący mogą uzyskać dostęp do prywatnych identyfikatorów przepisów, wartości ocen i flag ulubionych innych użytkowników.
Ocena ryzyka
Naruszenie prywatności użytkowników i ujawnienie danych o ich preferencjach może prowadzić do naruszenia zaufania i potencjalnych ataków socjotechnicznych.
Rekomendacja
Zaktualizuj Mealie do wersji 3.21.0 lub nowszej. Dodatkowo rozważ wprowadzenie kontroli dostępu na poziomie użytkownika.
Inne podatności w Mealie
Zobacz wszystkie- CVE-2026-71210Średnie
Ochrona SSRF AsyncSafeTransport w Mealie (mealie/pkgs/safehttp/transport.py) rozwiązuje nazwę hosta raz, sprawdza rozwiązany adres IP pod kątem zakresów prywatnych, ale następnie wysyła rzeczywiste żądanie HTTP przy użyciu oryginalnej nazwy hosta, którą bazowy transport asynchroniczny rozwiązuje ponownie niezależnie.
- CVE-2022-34624Średnie
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
Oryginalny opis (angielski, źródło NVD)
Mealie before 3.21.0 fails to validate user ownership in the ratings and favorites endpoints, allowing authenticated attackers to read any user's recipe ratings and favorites by specifying arbitrary user IDs in the URL path. Attackers can access private recipe identifiers, rating values, and favorite flags belonging to other users across different groups or households.