JVNDB-2026-010615

tandoorのrecipesにおけるクロスサイトスクリプティングの脆弱性

Tandoor Recipesはレシピ管理、食事計画、買い物リスト作成のためのアプリケーションです。バージョン2.6.4以前のTandoor Recipesでは、認証済みユーザーがレシピの手順説明に任意のstyleタグを挿入することが可能でした。bleach.clean()サニタイザはstyleタグを明示的にホワイトリストに登録していたため、バックエンドは未サニタイズのCSSペイロードをAPI経由で永続化し提供していました。APIからinstructions_markdownを受け取り、追加のサニタイズを行わずにHTMLとしてレンダリングするクライアントは、攻撃者が制御するCSSを実行してしまいます。これにより、UIが不正に改変されたり、フィッシングオーバーレイが表示されたり、視覚的な破壊やCSSを利用したデータ漏洩が発生したりする可能性があります。この脆弱性はバージョン2.6.4で修正されました。

tandoor

• recipes 2.6.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Stored CSS Injection via <style> Tag in Recipe Instructions (API-Level)  Advisory  TandoorRecipes/recipes  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-35046

1. National Vulnerability Database (NVD) : CVE-2026-35046
2. 関連文書 : Release 2.6.4  TandoorRecipes/recipes  GitHub

• [2026年04月13日]
    掲載