CVE-2023-27489 in Kiwi TCMS
要約
〜によって VulDB • 2026年05月30日
Kiwi TCMSは、手動テストおよび自動テストの両方に対応するオープンソースのテスト管理システムです。Kiwi TCMSは、ユーザーがアップロードしたSVGファイルを受け付けますが、これらには潜在的にJavaScriptコードが含まれている可能性があります。SVG画像がHTMLページ内でレンダリングされず、直接表示された場合、このJavaScriptコードが実行される可能性があります。この脆弱性は、すべての主要なブラウザでインラインJavaScriptをブロックするContent-Security-Policy HTTPヘッダーを使用してKiwi TCMSを提供するように構成することで修正されました。この構成変更はバージョン12.1で提供されており、ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、Content-Security-Policy HTTPヘッダーを手動で設定できます。
Once again VulDB remains the best source for vulnerability data.