CVE-2026-49292
NieznaneCVSS 0.0Streszczenie
Kiwi TCMS to system zarządzania testami open source. W wersjach przed 16.0 nieuwierzytelniona strona /init-db/ obsługiwana przez InitDBView w tcms/core/views.py pozostaje osiągalna po początkowej konfiguracji i przekazuje powtarzane żądania do Kiwi/manage.py migrate. Polecenie migracji jest reentrantne, więc powtarzany dostęp zgłasza brak dostępnych migracji i nie powoduje utraty danych, zmiany stanu aplikacji, ujawnienia poufnych informacji ani udokumentowanego wpływu na dostępność. Problem został naprawiony w wersji 16.0.
Ocena ryzyka
Mimo że podatność nie powoduje bezpośredniej utraty danych ani ujawnienia informacji, nieuwierzytelniony dostęp do strony /init-db/ może być wykorzystany do wywoływania powtarzających się operacji migracji, co może obciążać system. Ryzyko jest niskie, ale zaleca się aktualizację.
Rekomendacja
Zaktualizuj Kiwi TCMS do wersji 16.0 lub nowszej, aby naprawić tę podatność. Do czasu aktualizacji rozważ ograniczenie dostępu do strony /init-db/ na poziomie serwera WWW lub sieci.
Inne podatności w Kiwi TCMS
Zobacz wszystkie- CVE-2026-54724Średnie
W systemie Kiwi TCMS w wersjach przed 16.1 endpoint potwierdzania konta przyjmował niezwalidowany parametr next, co umożliwiało nieuwierzytelnionemu atakującemu utworzenie adresu URL w zaufanej domenie Kiwi TCMS przekierowującego ofiarę na dowolną zewnętrzną domenę. Zaufane pochodzenie może służyć do stron wyłudzających dane uwierzytelniające, obejścia filtrów bezpieczeństwa poczty i kontroli reputacji linków lub dostarczania złośliwego oprogramowania. Problem naprawiono w wersji 16.1.
- CVE-2026-55630Nieznane
Kiwi TCMS to otwartoźródłowy system zarządzania testami. Przed wersją 16.1 pola TestCase.extra_link i TestPlan.extra_link akceptowały nieoczyszczone dane wejściowe użytkownika i renderowały zapisane wartości dosłownie, co stwarzało możliwość ataku cross-site scripting. Oficjalne obrazy Docker i niezmodyfikowany middleware Kiwi TCMS wysyłają nagłówek Content-Security-Policy blokujący wbudowany JavaScript, co utrudnia eksploatację w domyślnych wdrożeniach, natomiast dostosowane wdrożenia osłabiające te ustawienia bezpieczeństwa mogą pozostać podatne. Wersja 16.1 prawidłowo oczyszcza oba pola i resetuje istniejące rekordy bazy danych, które nie przechodzą walidacji, do wartości null. Problem został naprawiony w wersji 16.1.
- CVE-2023-36809Wysokie
Kiwi TCMS, system zarządzania testami, miał problem z niewłaściwą konfiguracją Nginx, co pozwalało na wykonanie potencjalnie niebezpiecznych skryptów z załączników. Wersje przed 12.5 nieprawidłowo obsługiwały nagłówek `Content-Type: text/plain`, co stwarzało ryzyko dla użytkowników.
- CVE-2023-33977Wysokie
Kiwi TCMS, system zarządzania testami, miał luki w walidacji przesyłanych plików, co umożliwiało przesyłanie potencjalnie niebezpiecznych plików i wykonywanie dowolnego JavaScriptu w przeglądarce. Dodatkowo, dyrektywa `proxy_pass` w Nginx mogła usuwać niektóre nagłówki, co osłabiało zabezpieczenia Kiwi TCMS działającego za reverse proxy.
Oryginalny opis (angielski, źródło NVD)
Kiwi TCMS is an open source test management system. Prior to 16.0, the unauthenticated /init-db/ page handled by InitDBView in tcms/core/views.py remains reachable after initial setup and proxies repeated requests to Kiwi/manage.py migrate. The migration command is reentrant, so repeated access reports that no migrations are available and does not cause data loss, alter application state, reveal confidential information, or produce a documented availability impact. This issue is fixed in version 16.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS