Whoogle 搜索限制文件写入漏洞 (CVE-2024-22204)
CVE编号
CVE-2024-22204利用情况
暂无补丁情况
N/A披露时间
2024-01-24漏洞描述
Whoogle Search是一个自托管的元搜索引擎。0.8.3及之前版本中的Whoogle配置选项存在有限文件写入漏洞。在app/routes.py文件中，`config`函数没有对用户控制的`name`变量（在第447行）和`config_data`变量（在第437行）进行验证。`name`变量在`os.path.join`中不安全地进行了字符串拼接，导致路径操纵。`config_data`变量中的POST数据使用`pickle.dump`保存，从而导致有限文件写入。然而，在保存文件之前，已将保存的数据转换为字典，并添加了`url`键值对。总之，此漏洞使我们能够保存和覆盖应用程序具有权限的系统上的文件，其中包含任意数据和`url`键值对，这是一个有限的文件写入漏洞。0.8.4版本已修复了此问题。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 无
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-22 | 对路径名的限制不恰当（路径遍历） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论