Vulnerabilidad en Tandoor Recipes (CVE-2026-23838)

Tandoor Recipes es un gestor de recetas que se puede instalar con el gestor de paquetes Nix. A partir de la versión 23.05 y antes de la versión 26.05, al usar la configuración predeterminada de Tandoor Recipes, específicamente usando SQLite y el `MEDIA_ROOT` predeterminado, el archivo completo de la base de datos puede ser accesible externamente, potencialmente en Internet. La causa raíz es que el módulo de NixOS configura el directorio de trabajo de Tandoor Recipes, así como el valor de `MEDIA_ROOT`, para que sea `/var/lib/tandoor-recipes`. Esto hace que Tandoor Recipes cree su archivo de base de datos `db.sqlite3` en el mismo directorio que `MEDIA_ROOT` haciéndolo accesible sin autenticación a través de HTTP como cualquier otro archivo multimedia. Este es el caso al usar `GUNICORN_MEDIA=1` o al usar un servidor web como nginx para servir archivos multimedia. NixOS 26.05 cambia el valor predeterminado de `MEDIA_ROOT` a una subcarpeta del directorio de datos. Esto solo se aplica a configuraciones con `system.stateVersion` >= 26.05. Para configuraciones más antiguas, una de las soluciones alternativas debería aplicarse en su lugar. NixOS 25.11 ha recibido un backport de este parche, aunque no corrige esta vulnerabilidad sin intervención del usuario. Una solución alternativa recomendada es mover `MEDIA_ROOT` a un subdirectorio. Las soluciones alternativas no recomendadas incluyen cambiar a PostgreSQL o denegar el acceso a `db.sqlite3`.