CVE-2026-59966

Les versions de Tandoor Recipes antérieures à la 2.6.10 sont affectées par une faille dans la manière dont l'application gère le traitement automatisé des recettes. Le logiciel permet aux utilisateurs de définir des expressions régulières pour l'importation de recettes, mais il ne valide pas la complexité de ces modèles. Un attaquant peut ainsi enregistrer une expression régulière provoquant un « backtracking catastrophique », ce qui entraîne le blocage du moteur Python lors de la tentative de traitement d'une chaîne de caractères correspondante.

Un attaquant disposant d'un compte avec des privilèges restreints peut provoquer un déni de service (DoS) en enregistrant un modèle malveillant et en incitant un autre utilisateur du même Espace partagé à importer une recette correspondante. Comme ce processus occupe un emplacement de travailleur Gunicorn jusqu'à l'expiration du délai d'attente, le déclenchement répété de cette faille peut épuiser tous les travailleurs disponibles et faire planter le service. Cela nécessite un accès réseau et une interaction utilisateur minimale, mais ne compromet ni la confidentialité ni l'intégrité des données.