Tandoor Recipes - это приложение для управления рецептами, планирования блюд и создания списков покупок. До 2.6.4 RecipePookViewSet и Recip…

Tandoor Recipes - это приложение для управления рецептами, планирования блюд и создания списков покупок. До 2.6.4 RecipePookViewSet и RecipeBookEntryViewSet используют CustomIsShared в качестве альтернативного класса разрешений, но CustomIsShared.has_object_permission() возвращает True для всех методов HTTP, включая УДАЛЕНИЕ, PUT и PATCH, без проверки request.метод в SAFE_METHODS. Любой пользователь, который находится в общем списке RecipeBook, может удалить или перезаписать его, даже если общий доступ семантически читается. Эта уязвимость исправлена в 2.6.4.