Średnia

Whoogle Search Cross-site Scripting via string parameter

Ujawniono: 12.07.2022
Aktualizacja: 11.10.2026 11:20

The package whoogle-search before version 0.7.2 is vulnerable to Cross-site Scripting (XSS) via the query string parameter q. In the case where it does not contain the http string, it is used to build the error_message that is then rendered in the error.html template, using the flask.render_template function. However, the error_message is rendered using the | safe filter, meaning the user input is not escaped.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	whoogle-search	< 0.7.2	0.7.2

Odnośniki

Ocena CVSS 5.4/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: Python (PyPI)
Paczka: whoogle-search
Ujawniono: 12.07.2022
Aktualizacja: 11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2022-226 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-mxvc-fwgx-j778 - CC BY 4.0

Historia podatności: whoogle-search

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 07.2022 04.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 2
Wysoka 1
Średnia 3

Ujawnienia w latach

2022: 1
2023: 0
2024: 4
2025: 1
2026: 0

16.04.2025

Whoogle allows attackers to execute arbitrary code via supplying a crafted search query

Wysoka CVE-2024-53305 < 0.9.1 0.9.1
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions prior to 0.8.4, the `element` method in `app/routes.py` does not validate the user-controlled `src_type` and `element_url` variables and

Krytyczna · 9.8 CVE-2024-22203 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions 0.8.3 and prior, the `window` endpoint does not sanitize user-supplied input from the `location` variable and passes it to the `send` met

Krytyczna · 9.8 CVE-2024-22205 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. Versions 0.8.3 and prior have a limited file write vulnerability when the configuration options in Whoogle are enabled. The `config` function in `app

Średnia · 5.3 CVE-2024-22204 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions 0.8.3 and prior, the `element` method in `app/routes.py` does not validate the user-controlled `src_type` and `element_url` variables and

Średnia · 6.1 CVE-2024-22417 < 0.8.4 0.8.4
12.07.2022

Whoogle Search Cross-site Scripting via string parameter ten wpis

Średnia · 5.4 CVE-2022-25303 < 0.7.2 0.7.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację