Tandoor Recipes - это приложение для управления рецептами, планирования блюд и создания списков покупок. До 2.6.4 POST /api/food/{id}/shopp…

Tandoor Recipes - это приложение для управления рецептами, планирования блюд и создания списков покупок. До 2.6.4 POST /api/food/{id}/shopping/ endpoint считывает сумму и единицу непосредственно из request.data и передает их без проверки на ShoppingListEntry.objects.create(). Недействительные значения количества (нецифровые строки) вызывают несвязанное исключение и HTTP 500. Идентификатор блока из другого Пространства может быть связан с пересеченным пространством, пропуская ссылки по иностранным ключам через границы арендатора. Все другие конечные точки, создающие ShoppingListEntry, используют ShoppingListEntrySerializer, который проверяет и дезинфицирует эти поля. Эта уязвимость исправлена в 2.6.4.