CVE-2024-22204 in whoogle-search
要約
〜によって VulDB • 2026年07月12日
Whoogle Searchは、セルフホスト型のメタ検索エンジンです。バージョン0.8.3およびそれ以前のバージョンには、Whoogleの設定オプションが有効化されている場合に限定されたファイル書き込みの脆弱性が存在します。`app/routes.py`内の`config`関数は、447行目のユーザー制御可能な`name`変数と437行目の`config_data`変数を検証しません。`name`変数は`os.path.join`内で安全でない方法で連結され、パス操作を招きます。また、`config_data`変数からのPOSTデータは`pickle.dump`を使用して保存されるため、限定されたファイル書き込みが発生します。ただし、保存されるデータは事前に辞書に変換されており、システム上のファイルが保存される前に`url`キーの値ペアが追加されます。結局のところ、この問題は、アプリケーションに権限があるディレクトリに対して、任意のデータと`url`キーを含む辞書を介してファイルを保存および上書きすることを可能にする限定されたファイル書き込みとなります。バージョン0.8.4には本問題に対するパッチが含まれています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.