CVE-2023-33977
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Kiwi TCMS, system zarządzania testami, miał luki w walidacji przesyłanych plików, co umożliwiało przesyłanie potencjalnie niebezpiecznych plików i wykonywanie dowolnego JavaScriptu w przeglądarce. Dodatkowo, dyrektywa `proxy_pass` w Nginx mogła usuwać niektóre nagłówki, co osłabiało zabezpieczenia Kiwi TCMS działającego za reverse proxy.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS oraz inne zagrożenia związane z przesyłaniem niebezpiecznych plików, co może prowadzić do kradzieży danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do wersji 12.4 Kiwi TCMS. Użytkownicy, którzy nie mogą zaktualizować, powinni upewnić się, że dodatkowe wartości nagłówków są przekazywane do przeglądarki klienta w konfiguracji proxy.
Inne podatności w Kiwi TCMS
Zobacz wszystkie- CVE-2026-55630Nieznane
Kiwi TCMS to otwartoźródłowy system zarządzania testami. Przed wersją 16.1 pola TestCase.extra_link i TestPlan.extra_link akceptowały nieoczyszczone dane wejściowe użytkownika i renderowały zapisane wartości dosłownie, co stwarzało możliwość ataku cross-site scripting. Oficjalne obrazy Docker i niezmodyfikowany middleware Kiwi TCMS wysyłają nagłówek Content-Security-Policy blokujący wbudowany JavaScript, co utrudnia eksploatację w domyślnych wdrożeniach, natomiast dostosowane wdrożenia osłabiające te ustawienia bezpieczeństwa mogą pozostać podatne. Wersja 16.1 prawidłowo oczyszcza oba pola i resetuje istniejące rekordy bazy danych, które nie przechodzą walidacji, do wartości null. Problem został naprawiony w wersji 16.1.
- CVE-2026-54724Średnie
W systemie Kiwi TCMS w wersjach przed 16.1 endpoint potwierdzania konta przyjmował niezwalidowany parametr next, co umożliwiało nieuwierzytelnionemu atakującemu utworzenie adresu URL w zaufanej domenie Kiwi TCMS przekierowującego ofiarę na dowolną zewnętrzną domenę. Zaufane pochodzenie może służyć do stron wyłudzających dane uwierzytelniające, obejścia filtrów bezpieczeństwa poczty i kontroli reputacji linków lub dostarczania złośliwego oprogramowania. Problem naprawiono w wersji 16.1.
- CVE-2023-36809Wysokie
Kiwi TCMS, system zarządzania testami, miał problem z niewłaściwą konfiguracją Nginx, co pozwalało na wykonanie potencjalnie niebezpiecznych skryptów z załączników. Wersje przed 12.5 nieprawidłowo obsługiwały nagłówek `Content-Type: text/plain`, co stwarzało ryzyko dla użytkowników.
Oryginalny opis (angielski, źródło NVD)
Kiwi TCMS is an open source test management system for both manual and automated testing. Kiwi TCMS allows users to upload attachments to test plans, test cases, etc. Earlier versions of Kiwi TCMS had introduced upload validators in order to prevent potentially dangerous files from being uploaded and Content-Security-Policy definition to prevent cross-site-scripting attacks. The upload validation checks were not 100% robust which left the possibility to circumvent them and upload a potentially dangerous file which allows execution of arbitrary JavaScript in the browser. Additionally we've discovered that Nginx's `proxy_pass` directive will strip some headers negating protections built into Kiwi TCMS when served behind a reverse proxy. This issue has been addressed in version 12.4. Users are advised to upgrade. Users unable to upgrade who are serving Kiwi TCMS behind a reverse proxy should make sure that additional header values are still passed to the client browser. If they aren't redefining them inside the proxy configuration.