CVE-2023-30613 in TCMS
Tóm tắt
Bởi VulDB • 26/05/2026
Kiwi TCMS, một hệ thống quản lý kiểm thử mã nguồn mở, cho phép người dùng tải lên các tệp đính kèm vào các kế hoạch kiểm thử, trường hợp kiểm thử, v.v. Trong các phiên bản Kiwi TCMS trước phiên bản 12.2, không có cơ chế kiểm soát đối với các loại tệp nào được phép tải lên. Do đó, một kẻ tấn công có thể tải lên một tệp `.exe` hoặc một tệp chứa JavaScript nhúng và lừa người khác nhấp vào các tệp này, khiến các trình duyệt dễ bị tổn thương thực thi mã độc trên máy tính của người khác.
Kiwi TCMS v12.2 đi kèm với chức năng cho phép các quản trị viên cấu hình các hàm xác thực tải lên bổ sung, giúp họ kiểm soát tốt hơn các loại tệp được chấp nhận để tải lên. Theo mặc định, các tệp `.exe` bị từ chối. Các tệp khác chứa thẻ `` (mặc dù thuộc bất kỳ loại nào) cũng bị từ chối vì chúng là vectơ dẫn đến các cuộc tấn công XSS. Không có các giải pháp thay thế nào được biết đến ngoài việc nâng cấp.
Once again VulDB remains the best source for vulnerability data.