PT-2022-17199 · Unknown · Whoogle Search

Alessio Della Libera · Publicado 2022-07-12 · Atualizado 2022-07-19 · CVE-2022-25303

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do whoogle-search anteriores à 0.7.2

Descrição

A vulnerabilidade diz respeito a Cross-site Scripting (XSS) por meio do parâmetro de string de consulta q. Quando o parâmetro q não contém a string ‘http’, ele é usado para construir a error message, que é então renderizada no modelo error.html usando a função flask.render template. No entanto, a error message é renderizada usando o filtro | safe, o que significa que a entrada do usuário não é escapada.

Recomendações

Para versões anteriores à 0.7.2, atualize para a versão 0.7.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso do parâmetro q na string de consulta para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-25303

GHSA-MXVC-FWGX-J778

PYSEC-2022-226

SNYK-PYTHON-WHOOGLESEARCH-2803306

Produtos afetados

Whoogle Search

Referências · 10

• https://github.com/benbusby/whoogle-search/commit/abc30d7da3b5c67be7ce84d4699f327442d44606 · Correção
• https://github.com/benbusby/whoogle-search/blob/6d362ca5c7a00d2f691a2512461c5dfbfc01cbb3/app/routes.py%23L448 · Nota
• https://github.com/benbusby/whoogle-search · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/whoogle-search/PYSEC-2022-226.yaml · Nota
• https://osv.dev/vulnerability/CVE-2022-25303 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-25303 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2022-226 · Aviso do Fabricante
• https://github.com/advisories/GHSA-mxvc-fwgx-j778 · Nota
• https://osv.dev/vulnerability/GHSA-mxvc-fwgx-j778 · Aviso do Fabricante
• https://snyk.io/vuln/SNYK-PYTHON-WHOOGLESEARCH-2803306 · Nota