🇰🇷 한글 설명
Tandoor Recipes는 레시피 관리, 식사 계획, 장보기 목록 작성을 위한 애플리케이션입니다. 2.6.5 이전 버전에서는 레시피 가져오기 기능에 치명적인 서비스 거부(DoS) 취약점이 존재합니다. 인증된 사용자가 대용량 ZIP 파일(ZIP Bomb)을 업로드하여 서버를 중단시키거나 성능을 크게 저하시킬 수 있습니다. 이 취약점은 2.6.5 버전에서 수정되었습니다.
💡 쉬운 설명
레시피 관리 프로그램에서 압축 파일을 이용해 서버를 멈추게 할 수 있는 결함입니다. 로그인한 사용자라도 악의적인 파일을 올리면 서비스가 느려지거나 다운될 수 있습니다.
🇺🇸 원문 (English)
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.5, a critical Denial of Service (DoS) vulnerability was in the recipe import functionality. This vulnerability allows an authenticated user to crash the server or make a significantly degrade its performance by uploading a large size ZIP file (ZIP Bomb). This vulnerability is fixed in 2.6.5.
📍 영향받는 시스템
Tandoor Recipes 2.6.5 미만 버전
⚔️ 공격 벡터
인증된 사용자가 레시피 가져오기 기능으로 대용량 ZIP Bomb 파일을 업로드
🛡️ 대응 방법
Tandoor Recipes를 2.6.5 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.6.5 이상이면 취약점이 수정된 것이고, 2.6.5 미만이거나 출력이 없으면 취약 가능성이 있어 추가 확인이 필요합니다.
docker exec $(docker ps -qf ancestor=vabene1111/recipes) python -c "import version; print(version.TANDOOR_VERSION)" 2>/dev/null || grep -rE "TANDOOR_VERSION\s*=" /opt/tandoor*/ 2>/dev/null | head -1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server