CVE-2024-22417

Whoogle Search, kendi sunucunuzda barındırabileceğiniz bir meta arama motorudur. 0.8.3 ve önceki sürümlerde, `app/routes.py` dosyasındaki `element` metodu, kullanıcı tarafından kontrol edilen `src_type` ve `element_url` değişkenlerini doğrulamaz ve bunları `requests.py` dosyasının 339-343. satırlarında `GET` isteği gönderen `send` metoduna iletir. URL'den dönen içerikler daha sonra 484. satırdaki `send_file` fonksiyonunda kullanıcı tarafından kontrol edilen `src_type` ile birlikte kullanıcıya yansıtılır; bu da saldırganın HTTP yanıt içerik türünü kontrol etmesine ve siteler arası betik çalıştırma (XSS) güvenlik açığına yol açar. Bir saldırgan, kötü amaçlı bir web sitesine işaret eden özel bir URL oluşturabilir ve bağlantıyı bir kurbana gönderebilir. Bağlantının güvenilir bir alan adı içermesi (ör. genel Whoogle örneklerinden biri), kullanıcıyı bağlantıya tıklamaya kandırmak için kullanılabilir. Kötü amaçlı web sitesi, örneğin, bir kişinin web sitesindeki kimlik bilgilerini çalmak veya o kişiyi başka bir şekilde kandırmak amacıyla gerçek bir web sitesinin kopyası olabilir. Sürüm 0.8.4 bu sorun için bir yama içerir.