CVE-2024-22417

Whoogle Search versões 0.8.3 e anteriores

O Whoogle Search é um mecanismo de metabusca auto-hospedado. O método element em app/routes.py não valida as variáveis src type e element url, controladas pelo usuário, e as passa para o método send, que envia uma solicitação GET nas linhas 339-343 em requests.py. O conteúdo retornado da URL é então passado e refletido de volta ao usuário na função send file na linha 484, juntamente com o src type controlado pelo usuário, o que permite ao invasor controlar o tipo de conteúdo da resposta HTTP, levando a uma vulnerabilidade de cross-site scripting. Um invasor poderia criar uma URL especial para apontar para um site malicioso e enviar o link para uma vítima. O fato de o link conter um domínio confiável poderia ser usado para induzir o usuário a clicar no link. O site malicioso poderia, por exemplo, ser uma cópia de um site real, com o objetivo de roubar as credenciais de uma pessoa para o site ou enganá-la de outra forma.

Atualize para a versão 0.8.4 ou posterior para corrigir o problema. Como solução temporária, considere restringir o acesso à função send file e validar as entradas controladas pelo usuário para as variáveis src type e element url, a fim de minimizar o risco de exploração. Evite usar o método element em app/routes.py até que uma correção seja aplicada.