Vulnerabilidad en Whoogle Search (CVE-2024-22204)

Whoogle Search es un metabuscador autohospedado. Las versiones 0.8.3 y anteriores tienen una vulnerabilidad de escritura de archivos limitada cuando las opciones de configuración en Whoogle están habilitadas. La función `config` en `app/routes.py` no valida la variable `name` controlada por el usuario en la línea 447 y la variable `config_data` en la línea 437. La variable `name` está concatenada de forma insegura en `os.path. join`, lo que lleva a la manipulación de la ruta. Los datos POST de la variable `config_data` se guardan con `pickle.dump`, lo que genera una escritura de archivo limitada. Sin embargo, los datos que se guardan se transforman previamente en un diccionario y el par clave-valor "url" se agrega antes de que el archivo se guarde en el sistema. Con todo, el problema nos permite guardar y sobrescribir archivos en el sistema para el que la aplicación tiene permisos, con un diccionario que contiene datos arbitrarios y el valor clave "url", que es una escritura de archivo limitada. La versión 0.8.4 contiene un parche para este problema.