CVE-2023-30613 in TCMS
要約
〜によって VulDB • 2026年05月26日
Kiwi TCMSは、オープンソースのテスト管理システムであり、ユーザーがテストプランやテストケースなどに添付ファイルをアップロードすることができます。Kiwi TCMSの12.2より前のバージョンでは、アップロード可能なファイルの種類に対する制御が行われていません。そのため、悪意のある攻撃者は`.exe`ファイルや埋め込みJavaScriptを含むファイルをアップロードし、他のユーザーにこれらのファイルをクリックさせることで、脆弱なブラウザを使用して別のコンピュータ上で悪意のあるコードを実行させる可能性があります。
Kiwi TCMS v12.2では、管理者が追加のアップロードバリデーター関数を設定できる機能が搭載されており、アップロードが許可されるファイルタイプに対する制御を強化しています。デフォルトでは`.exe`ファイルは拒否されます。また、`.exe`以外のファイルでも、`<script>`タグを含むものはXSS攻撃への経路となるため、ファイルタイプに関わらず拒否されます。アップグレード以外に既知の回避策はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.