CVE-2023-30613 in TCMS
Сводка
по VulDB • 26.05.2026
Kiwi TCMS, система управления тестированием с открытым исходным кодом, позволяет пользователям загружать вложения в планы тестирования, тест-кейсы и т. д. В версиях Kiwi TCMS до 12.2 отсутствует контроль над типами загружаемых файлов. Таким образом, злоумышленник может загрузить файл `.exe` или файл, содержащий встроенный JavaScript, и обманом заставить других пользователей щелкнуть по этим файлам, что приведет к выполнению вредоносного кода в уязвимых браузерах на другом компьютере.
В Kiwi TCMS v12.2 добавлена функциональность, позволяющая администраторам настраивать дополнительные функции валидации загрузки, что дает им больший контроль над принимаемыми типами файлов. По умолчанию файлы `.exe` запрещены. Также запрещены другие файлы, содержащие тег `<script>`, независимо от их типа, поскольку они представляют собой путь к атакам XSS (Cross-Site Scripting). Известных обходных путей, кроме обновления, нет.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.