CVE-2026-101033: IDOR в KitchenOwl до 0.7.10 раскрывает данные чужих домохозяйств

В открытом проекте KitchenOwl, предназначенном для совместного ведения списков покупок и учёта расходов, выявлена уязвимость контроля доступа. Проблема затрагивает логику изоляции домохозяйств (household isolation) — базовый механизм, на котором строится разграничение данных между разными группами пользователей.

Подробности

Уязвимость получила идентификатор CVE-2026-101033 и оценку CVSS 5.3 (MEDIUM). Затронуты версии KitchenOwl по 0.7.10 включительно (продукт TomBursch kitchenowl). Причина — отсутствие проверки того, что переданный в запросе идентификатор категории (category ID) действительно принадлежит домохозяйству вызывающего пользователя. Такая проверка не выполняется в операциях с расходами (expense) и товарами (item). В результате аутентифицированный атакующий может перебирать значения category ID, относящиеся к другим домохозяйствам, и получать в ответах их названия категорий, установленные бюджеты и цвета. Это классический пример IDOR (Insecure Direct Object Reference) — небезопасной прямой ссылки на объект. Хотя утечка ограничена метаданными категорий, а не самими финансовыми записями, она нарушает заявленную изоляцию домохозяйств и создаёт основу для дальнейшей разведки: злоумышленник получает сведения о структуре бюджета и категориях чужих групп. Для эксплуатации требуется действующая учётная запись в приложении, поэтому вектор атаки — сетевой, с низкой сложностью и без взаимодействия с пользователем. Сведения о наличии публичного эксплойта в записи CVE не приводятся.

Что делать

Основная рекомендация — обновить KitchenOwl до версии выше 0.7.10, как только производитель выпустит исправление. Если обновление на текущий момент недоступно, следует применить компенсирующие меры: - ограничить круг пользователей, имеющих учётные записи в инстансе KitchenOwl, и не предоставлять доступ недоверенным лицам; - по возможности изолировать экземпляр приложения (например, размещать его только во внутренней сети или за VPN, не публиковать в интернете); - включить журналирование и мониторинг запросов к операциям с расходами и товарами, чтобы выявлять аномальный перебор идентификаторов категорий; - отслеживать выпуск патча и информацию от сопровождающих проекта. Стоит учитывать, что любые митигации на уровне инфраструктуры лишь снижают вероятность эксплуатации, но не устраняют саму уязвимость — корректная проверка принадлежности category ID домохозяйству должна быть реализована в коде приложения. Итог: CVE-2026-101033 — умеренно опасная, но показательная уязвимость, напоминающая о необходимости серверной проверки прав доступа к каждому объекту, а не только аутентификации пользователя. Всем, кто использует KitchenOwl 0.7.10 и ниже, рекомендуется как можно скорее запланировать обновление и временно усилить контроль доступа к инстансу.

Источник: CVE Project (cvelistV5)