Whoogle 搜索跨站脚本漏洞 (CVE-2024-22417)
CVE编号
CVE-2024-22417利用情况
暂无补丁情况
N/A披露时间
2024-01-24漏洞描述
在0.8.3版本及之前的Whoogle Search中，`app/routes.py`文件中的`element`方法未验证用户可控的`src_type`和`element_url`变量，并将它们传递给`requests.py`中的`send`方法进行`GET`请求（339-343行）。然后，URL返回的内容与用户可控的`src_type`一起在484行的`send_file`函数中反射回用户，这导致了跨站脚本漏洞。攻击者可以构造特殊的URL指向恶意网站，并将链接发送给受害者。链接包含受信任域名（例如公共Whoogle实例之一）可用于欺骗用户点击链接。恶意网站可以是真实网站的副本，旨在窃取个人的网站凭据，或以其他方式欺骗用户。0.8.4版本已修复此问题。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 需要
- 可用性 无
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论