Whoogle Search Cross-site Scripting via string parameter

TRUNG BÌNH 6.1CVE-2022-25303 · GHSA-mxvc-fwgx-j778 · PYSEC-2022-226 · Công bố 12/07/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-25303 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng whoogle-search, whoogle-search (whoogle-search project).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.97%, cao hơn 62.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.7.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
whoogle-search PyPI	`< 0.7.2`	`0.7.2`
whoogle-search whoogle-search_project	`< 0.7.2`	`0.7.2`

Mô tả

The package whoogle-search before version 0.7.2 is vulnerable to Cross-site Scripting (XSS) via the query string parameter q. In the case where it does not contain the http string, it is used to build the error_message that is then rendered in the error.html template, using the flask.render_template function. However, the error_message is rendered using the | safe filter, meaning the user input is not escaped.

Mô tả của NVD

The package whoogle-search before 0.7.2 are vulnerable to Cross-site Scripting (XSS) via the query string parameter q. In the case where it does not contain the http string, it is used to build the error_message that is then rendered in the error.html template, using the [flask.render_template](https://flask.palletsprojects.com/en/2.1.x/api/flask.render_template) function. However, the error_message is rendered using the [| safe filter](https://jinja.palletsprojects.com/en/3.1.x/templates/working-with-automatic-escaping), meaning the user input is not escaped.