CVE-2024-31993

Mealie es un administrador de recetas y planificador de comidas autónomo. Antes de 1.4.0, la función scrape_image recuperaba una imagen basada en una URL proporcionada por el usuario; sin embargo, la URL proporcionada no está validada para apuntar a una ubicación externa y no tiene ninguna limitación de velocidad obligatoria. La respuesta del servidor Mealie también variará dependiendo de si el archivo de destino es una imagen, no es una imagen o no existe. Además, cuando se recupera un archivo, éste puede permanecer almacenado en el sistema de archivos de Mealie como original.jpg bajo el UUID de la receta para la que se solicitó. Si el atacante tiene acceso a una cuenta de administrador (por ejemplo, la predeterminada changeme@example.com), este archivo puede recuperarse. Tenga en cuenta que si Mealie se ejecuta en una configuración de desarrollo, un atacante podría aprovechar esto para recuperar cualquier archivo que el servidor de Mealie haya descargado de esta manera sin necesidad de acceso de administrador. Esta vulnerabilidad se solucionó en 1.4.0.