CVE-2026-90583

kagisearch smallweb ürününün 0ecb9c48edbf98dc7e934b54fbac43869e64b4cf sürümüne kadar olan versiyonlarında bir güvenlik açığı keşfedilmiştir. Etkilenen bileşen Query String Rendering bileşeninin app/sw.py dosyasındaki index fonksiyonudur. qs argümanının manipüle edilmesi siteler arası betik çalıştırma (XSS) ile sonuçlanmaktadır. Saldırının uzaktan gerçekleştirilmesi mümkündür. Bu ürün, sürekli teslimatı sağlamak için rolling release stratejisi benimsemiştir; bu nedenle etkilenen veya güncellenen sürümler için versiyon detayları belirtilememektedir. Yama 00b68144e583f20a6b67e29cf01bc07f57979ffb olarak adlandırılmıştır. Bu sorunu gidermek için yamanın uygulanması önerilir. İstismar edilebilirlik, sorgu dizesinde kodlanmamış çift tırnak karakterleri taşıyan ham bir HTTP isteği gerektirir - Werkzeug'un request.query_string fonksiyonu ham request-target değerini döndürür ve standart tarayıcılar " karakterini %22 olarak yüzdeyle kodladığından, yük yalnızca netcat/curl tarzı ham soketler aracılığıyla ulaşabilir.