Media

Whoogle Search Cross-site Scripting via string parameter

Publicada: 12.07.2022
Actualizado: 11.10.2026 11:20

The package whoogle-search before version 0.7.2 is vulnerable to Cross-site Scripting (XSS) via the query string parameter q. In the case where it does not contain the http string, it is used to build the error_message that is then rendered in the error.html template, using the flask.render_template function. However, the error_message is rendered using the | safe filter, meaning the user input is not escaped.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	whoogle-search	< 0.7.2	0.7.2

Referencias

Puntuación CVSS 5.4/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Debilidad (CWE): CWE-79
Plataforma: Python (PyPI)
Paquete: whoogle-search
Publicada: 12.07.2022
Actualizado: 11.10.2026 11:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2022-226 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-mxvc-fwgx-j778 - CC BY 4.0

Historial de vulnerabilidades: whoogle-search

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 6
Primera → última: 07.2022 04.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 2
Alta 1
Media 3

Divulgaciones por año

2022: 1
2023: 0
2024: 4
2025: 1
2026: 0

16.04.2025

Whoogle allows attackers to execute arbitrary code via supplying a crafted search query

Alta CVE-2024-53305 < 0.9.1 0.9.1
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions prior to 0.8.4, the `element` method in `app/routes.py` does not validate the user-controlled `src_type` and `element_url` variables and

Crítica · 9.8 CVE-2024-22203 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions 0.8.3 and prior, the `window` endpoint does not sanitize user-supplied input from the `location` variable and passes it to the `send` met

Crítica · 9.8 CVE-2024-22205 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. Versions 0.8.3 and prior have a limited file write vulnerability when the configuration options in Whoogle are enabled. The `config` function in `app

Media · 5.3 CVE-2024-22204 < 0.8.4 0.8.4
23.01.2024

Whoogle Search is a self-hosted metasearch engine. In versions 0.8.3 and prior, the `element` method in `app/routes.py` does not validate the user-controlled `src_type` and `element_url` variables and

Media · 6.1 CVE-2024-22417 < 0.8.4 0.8.4
12.07.2022

Whoogle Search Cross-site Scripting via string parameter esta entrada

Media · 5.4 CVE-2022-25303 < 0.7.2 0.7.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación