CVE-2023-27489 in Kiwi TCMS
Sumário
de VulDB • 10/05/2026
O Kiwi TCMS é um sistema de gerenciamento de testes de código aberto para testes manuais e automatizados. O Kiwi TCMS aceita arquivos SVG enviados pelos usuários, que podem potencialmente conter código JavaScript. Se as imagens SVG forem visualizadas diretamente, ou seja, não renderizadas em uma página HTML, esse código JavaScript poderá ser executado. Essa vulnerabilidade foi corrigida configurando o Kiwi TCMS para ser servido com o cabeçalho HTTP Content-Security-Policy, que bloqueia JavaScript inline em todos os navegadores modernos. Essa alteração de configuração está disponível na versão 12.1, e os usuários são aconselhados a atualizar. Usuários que não conseguirem atualizar podem definir manualmente o cabeçalho HTTP Content-Security-Policy.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.