CVE-2025-56795
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Mealie w wersji 3.0.1 i wcześniejszych jest podatny na przechowywany XSS w funkcji tworzenia przepisów. Nieoczyszczone dane wejściowe użytkownika w polach "note" i "text" endpointu "/api/recipes/{recipe_name}" są renderowane we frontendzie bez odpowiedniego escapowania, co prowadzi do trwałego XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, umożliwiając kradzież sesji lub danych. Ryzyko dotyczy wszystkich użytkowników przeglądających zainfekowane przepisy.
Rekomendacja
Należy zaktualizować Mealie do wersji zawierającej poprawkę oraz wdrożyć odpowiednie kodowanie wyjścia i walidację danych wejściowych. Zaleca się również przegląd istniejących przepisów pod kątem złośliwych treści.
Inne podatności w Mealie
Zobacz wszystkie- CVE-2026-108594Niskie
Mealie w wersjach od 3.26.0 do 3.28.0 zawiera podatność typu server-side request forgery (SSRF) w mechanizmie pobierania awatara przez OpenID Connect. Podatność polega na tym, że lista dozwolonych hostów dostawcy tożsamości ignoruje numery portów. Uwierzytelniony użytkownik OIDC, który kontroluje adres URL swojego zdjęcia profilowego, może przy każdym logowaniu wymusić na serwerze wysyłanie żądań GET do dowolnych portów na wewnętrznym adresie dostawcy.
- CVE-2026-94028Średnie
W mealie-recipes Mealie do wersji 3.25.1 wykryto podatność w funkcji payload.model_dump pliku mealie/routes/households/controller_group_recipe_actions.py komponentu Recipe Action Trigger. Manipulacja argumentem url prowadzi do podatności SSRF. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-93736Średnie
Mealie przed wersją 3.21.0 nie waliduje własności użytkownika w endpointach ocen i ulubionych, co pozwala uwierzytelnionym atakującym odczytywać oceny i ulubione przepisów dowolnego użytkownika, podając dowolne identyfikatory użytkowników w ścieżce URL. Atakujący mogą uzyskać dostęp do prywatnych identyfikatorów przepisów, wartości ocen i flag ulubionych innych użytkowników.
- CVE-2026-71210Średnie
Ochrona SSRF AsyncSafeTransport w Mealie (mealie/pkgs/safehttp/transport.py) rozwiązuje nazwę hosta raz, sprawdza rozwiązany adres IP pod kątem zakresów prywatnych, ale następnie wysyła rzeczywiste żądanie HTTP przy użyciu oryginalnej nazwy hosta, którą bazowy transport asynchroniczny rozwiązuje ponownie niezależnie.
- CVE-2022-34624Średnie
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
Oryginalny opis (angielski, źródło NVD)
Mealie 3.0.1 and earlier is vulnerable to Stored Cross-Site Scripting (XSS) in the recipe creation functionality. Unsanitized user input in the "note" and "text" fields of the "/api/recipes/{recipe_name}" endpoint is rendered in the frontend without proper escaping leading to persistent XSS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS