Busqueda

Executive summary — Busqueda exposes a Flask application that builds search-engine URLs on top of the Searchor 2.4.0 library, vulnerable to CVE-2023-43364 (eval() injection). The unusual part — and the most instructive lesson of the box — is that the application's own code is correct: it validates the engine against a whitelist and runs the subprocess with an argument list, without shell=True. The flaw isn't in that code; it's in the dependency declared in requirements.txt, invisible to any review of the application's own source. From there, a .git/ mistakenly deployed to production and three separate password reuses chain the access all the way to a sudo script that invokes another script through a relative path — the one thing sudo never sanitizes is the working directory.

Resumen ejecutivo — Busqueda expone una aplicación Flask que construye URLs de búsqueda apoyándose en la biblioteca Searchor 2.4.0, vulnerable a CVE-2023-43364 (inyección en eval()). Lo poco habitual — y lo más instructivo de la máquina — es que el código de la aplicación es correcto: valida el motor contra una lista blanca y ejecuta el subproceso con lista de argumentos, sin shell=True. El fallo no está en ese código, sino en la dependencia que declara en requirements.txt, invisible a cualquier revisión del propio código. A partir de ahí, un .git/ desplegado por error en producción y tres reutilizaciones de contraseña encadenan el acceso hasta un script de sudo que invoca otro script mediante una ruta relativa — la única variable que sudo nunca sanea es el directorio de trabajo.