支持本站 — 捐款将帮助我们持续运营

目标：1000 元，已筹：736 元

73.6%
立即捐款
一、 漏洞 CVE-2026-23838 基础信息
漏洞信息
                                        # Tandoor Recipes SQLite数据库暴露漏洞

N/A
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Tandoor Recipes module allows SQLite database to be externally accessible with the default settings
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Tandoor Recipes is a recipe manager than can be installed with the Nix package manager. Starting in version 23.05 and prior to version 26.05, when using the default configuration of Tandoor Recipes, specifically using SQLite and default `MEDIA_ROOT`, the full database file may be externally accessible, potentially on the Internet. The root cause is that the NixOS module configures the working directory of Tandoor Recipes, as well as the value of `MEDIA_ROOT`, to be `/var/lib/tandoor-recipes`. This causes Tandoor Recipes to create its `db.sqlite3` database file in the same directory as `MEDIA_ROOT` causing it to be accessible without authentication through HTTP like any other media file. This is the case when using `GUNICORN_MEDIA=1` or when using a web server like nginx to serve media files. NixOS 26.05 changes the default value of `MEDIA_ROOT` to a sub folder of the data directory. This only applies to configurations with `system.stateVersion` >= 26.05. For older configurations, one of the workarounds should be applied instead. NixOS 25.11 has received a backport of this patch, though it doesn't fix this vulnerability without user intervention. A recommended workaround is to move `MEDIA_ROOT` into a subdirectory. Non-recommended workarounds include switching to PostgreSQL or disallowing access to `db.sqlite3`.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
文件和路径信息暴露
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23838 的公开POC
#POC 描述源链接神龙链接
三、漏洞 CVE-2026-23838 的情报信息

  • 标题： nixos/tandoor-recipes: fix database leak when serving media by Scrumplex · Pull Request #427845 · NixOS/nixpkgs · GitHub -- 🔗来源链接

    标签：x_refsource_MISC

    神龙速读：
                                            ### 关键漏洞信息

- **漏洞类型**: 数据库泄露（Database Leak）
- **影响组件**: Tandoor Recipes 模块
- **漏洞描述**: 在提供媒体内容时，存在数据库泄露问题。
- **解决方法**: 修复了数据库泄露问题。
- **参考资料**: 
  - 相关议题 #338339
  - 取代 #386167
- **安全标签**:
  - 1.severity: security
  - 8.has: tests
- **其他标签**:
  - 6.topic: nixos
  - 8.has: changelog
  - 8.has: documentation
  - 10.rebuild-linux: 1-10
  - 10.rebuild-darwin: 0
- **相关文档**: 
  - [CVE-2026-23838] 外部可访问的 SQLite 数据库，使用 Tandoor Recipes 模块的默认设置时存在漏洞。详情请参考 [NixOS Discourse 讨论](https://discourse.nixos.org/t/security-advisory-sqlite-database-externally-accessible-with-the-default-settings-of-tandoor-recipes-module-cve-2026-23838/74488)


### 关于修复情况

- **修复影响的平台**:
  - x86_64-linux
  - aarch64-linux 
  - x86_64-darwin
  - aarch64-darwin
- **CI 测试结果**:
  - nixpkgs-review 测试通过，构建显示无错误。
- **合并信息**:
  - 提交已合并至 nixos/tandoor-recipes 主分支，合并 commit 信息为 82fb9b0。
    nixos/tandoor-recipes: fix database leak when serving media by Scrumplex · Pull Request #427845 · NixOS/nixpkgs · GitHub

  • 标题： [25.11] nixos/tandoor-recipes: fix database leak when serving media by Scrumplex · Pull Request #481140 · NixOS/nixpkgs · GitHub -- 🔗来源链接

    标签：x_refsource_MISC

    神龙速读：
                                            从该GitHub Pull Request的截图中，我们可以获取以下关于漏洞的关键信息：

- **漏洞描述**：该Pull Request旨在修复NixOS版本25.11中tandoor-recipes模块在服务媒体时产生的数据库泄露问题（数据库泄露通常指的是敏感数据意外暴露给未经授权的访问者）。
  
- **漏洞影响**：可能影响使用tandoor-recipes模块，并在NixOS 25.11环境下进行媒体服务的系统。

- **修复措施**：提交者通过更新tandoor-recipes模块的代码来修复此问题，该修复已经在不同平台（如x86_64-linux、aarch64-linux等）上进行了测试。

- **测试与验证**：
  - 修复在NixOS的测试环境中进行了验证。
  - 通过了GitHub Actions的自动化构建和测试流程。

- **相关链接**：存在一个链接指向NixOS社区中关于此漏洞的讨论，讨论中可能包含更详细的漏洞分析和修复过程，链接为：https://discourse.nixos.org/t/security-advisory-sqlite-database-externally-accessible-with-the-default-settings-of-tandoor-recipes-module-cve-2026-23838/74488/1

- **状态更新**：该修复已经被审批通过并成功合并到NixOS的25.11版本库中，这意味着该漏洞已经被官方修复并会在下一个更新中修复受影响的用户。
    [25.11] nixos/tandoor-recipes: fix database leak when serving media by Scrumplex · Pull Request #481140 · NixOS/nixpkgs · GitHub

  • 标题： tandoor-recipes: Default storage configuration is prone to sqlite database leaks · Issue #338339 · NixOS/nixpkgs -- 🔗来源链接

    标签：x_refsource_MISC

    神龙速读：
                                            ### 关键信息

- **漏洞标题:** `tandoor-recipes: Default storage configuration is prone to sqlite database leaks`
- **漏洞编号:** #338339
- **状态:** 已关闭 (Closed)
- **标签:**
  - `0.kind: bug`
  - `1.severity: security`
- **描述:**
  - `tandoor-recipes` 默认存储配置会将数据库文件存放在与媒体文件相同的目录下，导致数据库文件可能被暴露。
  - 当没有配置Postgres连接时，会创建SQLite数据库并存储在工作目录中。
  - 除非特别注意，用户可能会通过Nginx或设置 `GUNICORN_MEDIA=true` 将数据库暴露在网络上。

- **重现步骤:**
  - 按照特定的配置创建服务。
  - 使用 `curl` 请求访问数据库文件路径，可以成功获取数据库文件。

- **预期行为:** 数据库不应该与媒体文件存放在同一目录中。

- **额外信息:** 
  - 问题与Postgres配置无关。
  - `tandoor-recipes-manage` 文件也可能暴露，存在安全风险。
  
- **解决措施:** 已经有提交 `#427845` 和 `#386167` 提出了修复措施。
    tandoor-recipes: Default storage configuration is prone to sqlite database leaks · Issue #338339 · NixOS/nixpkgs

  • 标题： SQLite database externally accessible with the default settings of Tandoor Recipes module · Advisory · NixOS/nixpkgs · GitHub -- 🔗来源链接

    标签：x_refsource_CONFIRM

    神龙速读：
                                            ### 漏洞概述

**标题**: SQLite数据库在Tandoor Recipes模块的默认设置下外部可访问

**发布者**: LeSuisse

**CVE ID**: CVE-2026-23838

**严重性**: 高 (CVSS v4 base metrics: 8.7/10)

### 影响

- **受影响版本**: 23.05, 23.11, 24.05, 24.11, 25.05, 25.11
- **修复版本**: 26.05
- **整改开发者**: Scrumpolex
- **问题类型**: CWE-538 (明文存储敏感数据)

### 根因分析

- NixOS模块配置Tandoor Recipes的工作目录与MEDIA_ROOT值为`/var/lib/tandoor-recipes`相同，导致Tandoor Recipes在相同的目录中创建`db.sqlite3`数据库文件，使得数据库文件可以通过HTTP与任何其他媒体文件一样被外部访问，无需认证。
- 使用`GUNICORN_MEDIA=1`或使用nginx等Web服务器提供媒体文件时存在该问题。

### 修复措施

- NixOS 26.05 将默认值`MEDIA_ROOT`更改为数据目录的子文件夹。仅适用于`system.stateVersion >= 26.05`的配置。
- NixOS 25.11 收到了此修复的回溯，但仍需要用户干预才能修复此漏洞。

### 工作原理 / 补救措施

**推荐**: 将`MEDIA_ROOT`移至子目录

1. 停止当前运行的服务: `systemctl stop tandoor-recipes.service`
2. 创建一个媒体文件夹: `mkdir -p /var/lib/tandoor-recipes/media`
3. 将现有媒体移动到新路径: `mv /var/lib/tandoor-recipes/{files,recipes} /var/lib/tandoor-recipes/media`
4. 设置`services.tandoor-recipes.extraConfig.MEDIA_ROOT = "/var/lib/tandoor-recipes/media";`在NixOS配置中 (如果`system.stateVersion >= 26.05`则不需要此步骤)。
5. 如果未使用`GUNICORN_MEDIA`，请相应地更新反向代理/Web服务器配置。
6. 重建和切换!

**不推荐**: 切换到PostgreSQL数据库，这需要迁移现有数据库并移除或删除`db.sqlite3`文件。

### 参考

- 初始问题: #338339
- NixOS不稳定 26.05 修复: #427845
- NixOS 25.11 回溯: #481140
- 文档: https://nixos.org/manual/nixos/unstable/#module-services-tandoor-recipes-migrating-media
    SQLite database externally accessible with the default settings of Tandoor Recipes module · Advisory · NixOS/nixpkgs · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2026-23838
四、漏洞 CVE-2026-23838 的评论

暂无评论

发表评论