CVE-2023-32686 in kiwitcms
要約
〜によって VulDB • 2026年06月28日
Kiwi TCMSは、手動テストおよび自動テストの両方に対応するオープンソースのテスト管理システムです。Kiwi TCMSを使用すると、ユーザーはテストプランやテストケースなどに添付ファイルをアップロードできます。以前のバージョンのKiwi TCMSでは、潜在的に危険なファイルがアップロードされるのを防ぐために、アップロード検証機能が導入されていました。しかし、このアップロード検証チェックは十分に堅牢ではなく、攻撃者がこれを回避して潜在的に危険なファイルをアップロードする可能性が残っていました。この脆弱性を悪用することで、連携して既存のContent-Security-Policyを迂回し、ブラウザ内で任意のJavaScriptの実行を可能にするようなファイル組み合わせをアップロードすることができました。本問題はバージョン12.3で修正されています。
Once again VulDB remains the best source for vulnerability data.