Kiwi Tcms
Уязвимости
11
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.03596
Распределение по критичности
Критический
2
Высокий
2
Средний
7
Низкий
0
Затронутые диапазоны версий
< 11.6< 11.7< 12.0< 12.1< 12.2< 12.5≤ 12.2≤ 12.3
Также сопоставлено как (исходные строки): kiwi_tcms
Топ уязвимостей
CVE-2023-25156Kiwi TCMS, система управления тестированием с открытым исходным кодом, не накладывает ограничения скорости в версиях до 12.0. Это упрощает попытки атак грубой силы на страницу входа в систему. Пользователям следует обновиться до версии 12.0 или более поздней, чтобы получить исправление. В качестве обходного пути пользователи могут установить и настроить прокси-сервер с ограничением скорости перед Kiwi TCMS.
CVE-2023-30613Kiwi TCMS, система управления тестированием с открытым исходным кодом, позволяет пользователям загружать вложения в планы тестирования, тестовые случаи и т. д. В версиях Kiwi TCMS до 12.2 нет контроля над тем, какие типы файлов можно загружать. Таким образом, злоумышленник может загрузить `.exe` файл или файл, содержащий встроенный JavaScript, и обманом заставить других нажать на эти файлы, в результате чего уязвимые браузеры выполнят вредоносный код на другом компьютере.
Kiwi TCMS v12.2 поставляется с функциональностью, которая позволяет администраторам настраивать дополнительные функции проверки загружаемых файлов, которые дают им больший контроль над тем, какие типы файлов принимаются для загрузки. По умолчанию `.exe` запрещены. Другие файлы, содержащие тег `<script>`, независимо от их типа, также запрещены, поскольку они являются путем к XSS-атакам. Неизвестно никаких обходных путей, кроме обновления.
CVE-2023-30628Kiwi TCMS - это система управления тестированием с открытым исходным кодом. В версиях kiwitcms/Kiwi v12.2 и ранее `changelog.yml` рабочий процесс уязвим для атак командной инъекции.
CVE-2023-22451Kiwi TCMS — это система управления тестированием с открытым исходным кодом. В версии 11.6 и более ранних, когда пользователи регистрируют новые учетные записи и/или меняют пароли, отсутствует проверка, которая могла бы помешать им выбрать легко угадываемый пароль. Эта проблема решена путем предоставления значений по умолчанию для параметра конфигурации `AUTH_PASSWORD_VALIDATORS`. Начиная с версии 11.7, пароль не может быть слишком похож на другую личную информацию, должен содержать не менее 10 символов, не может быть часто используемым паролем и не может быть полностью числовым. В качестве обходного пути администратор может сбросить все пароли в Kiwi TCMS, если он считает, что мог быть выбран слабый пароль.
CVE-2023-25171Kiwi TCMS, система управления тестированием с открытым исходным кодом, не накладывает ограничения на скорость в версиях до 12.0. Это упрощает попытки атак типа «отказ в обслуживании» на страницу сброса пароля. Злоумышленник потенциально может отправить большое количество электронных писем, если ему известны адреса электронной почты пользователей в Kiwi TCMS. Кроме того, это может перегрузить ресурсы SMTP. Пользователям следует обновиться до версии v12.0 или более поздней, чтобы получить исправление. В качестве возможных обходных путей пользователи могут установить и настроить прокси-сервер с ограничением скорости перед Kiwi TCMS и/или настроить ограничения скорости на своем почтовом сервере, когда это возможно.
CVE-2023-36809Kiwi TCMS, система управления тестированием с открытым исходным кодом, позволяет пользователям загружать вложения в планы тестирования, тестовые случаи и т. д. Версии Kiwi TCMS до 12.5 внесли изменения, которые должны были обслуживать все загруженные файлы как простой текст, чтобы предотвратить выполнение браузерами потенциально опасных файлов при непосредственном доступе к таким файлам. Предыдущая конфигурация Nginx была неправильной, что позволяло некоторым браузерам, таким как Firefox, игнорировать заголовок `Content-Type: text/plain` в некоторых случаях, что позволяло выполнять потенциально опасные сценарии. Кроме того, было обнаружено, что валидаторы загрузки файлов и части кода рендеринга HTML требуют дополнительной очистки и улучшений. Версия 12.5 устраняет эту уязвимость с помощью обновленной конфигурации типа контента Nginx, улучшенного кода проверки загрузки файлов для предотвращения более потенциально опасных загрузок и очистки имен планов тестирования, используемых в функции `tree_view_html()`.
CVE-2023-33977Kiwi TCMS — это система управления тестированием с открытым исходным кодом как для ручного, так и для автоматизированного тестирования. Kiwi TCMS позволяет пользователям загружать вложения к планам тестирования, тестовым случаям и т. д. В более ранних версиях Kiwi TCMS были представлены валидаторы загрузки, чтобы предотвратить загрузку потенциально опасных файлов, и определение Content-Security-Policy для предотвращения атак межсайтового скриптинга. Проверки проверки загрузки не были на 100% надежными, что оставляло возможность их обхода и загрузки потенциально опасного файла, который позволяет выполнять произвольный JavaScript в браузере. Кроме того, мы обнаружили, что директива Nginx `proxy_pass` удалит некоторые заголовки, сводя на нет защиту, встроенную в Kiwi TCMS при обслуживании за обратным прокси-сервером. Эта проблема была решена в версии 12.4. Пользователям рекомендуется обновиться. Пользователи, которые не могут обновиться и обслуживают Kiwi TCMS за обратным прокси-сервером, должны убедиться, что дополнительные значения заголовков по-прежнему передаются в клиентский браузер. Если они не переопределяют их внутри конфигурации прокси-сервера.
CVE-2023-32686Kiwi TCMS - это система управления тестированием с открытым исходным кодом как для ручного, так и для автоматизированного тестирования. Kiwi TCMS позволяет пользователям загружать вложения в планы тестирования, тестовые случаи и т. д. В более ранних версиях Kiwi TCMS были введены валидаторы загрузки, чтобы предотвратить загрузку потенциально опасных файлов. Проверки валидации загрузки были недостаточно надежными, что оставляло возможность злоумышленнику обойти их и загрузить потенциально опасный файл. Используя этот недостаток, можно было загрузить комбинацию файлов, чтобы они работали вместе, чтобы обойти существующую политику Content-Security-Policy и разрешить выполнение произвольного JavaScript в браузере. Эта проблема была исправлена в версии 12.3.
CVE-2023-27489Kiwi TCMS — это открытая система управления тестами для ручного и автоматизированного тестирования. Kiwi TCMS принимает SVG-файлы, загружаемые пользователями, которые могут потенциально содержать JavaScript. Если SVG-изображения просматриваются напрямую, т.е. не отображаются на HTML-странице, этот JavaScript может выполниться. Эта уязвимость была устранена путем настройки Kiwi TCMS для обслуживания с заголовком HTTP Content-Security-Policy, который блокирует встроенный JavaScript во всех современных браузерах. Это изменение конфигурации предоставлено в версии 12.1, и пользователям рекомендуется обновиться. Пользователи, которые не могут обновиться, могут вручную установить свой заголовок HTTP Content-Security-Policy.
CVE-2022-4105Сохраненный XSS в плане тестирования kiwi может запускать вредоносный JavaScript, который можно объединить с HTML-инъекцией для выполнения атаки с подменой пользовательского интерфейса (clickjacking) и HTML-инъекцией, которая отключает использование страницы истории.
CVE-2023-30544Kiwi TCMS — это система управления тестированием с открытым исходным кодом. В версиях Kiwi TCMS до 12.2 пользователи могли обновлять свои адреса электронной почты через страницу администратора `My profile`. Эта страница позволяла им изменять адрес электронной почты, зарегистрированный в их учетной записи, без проверки владения, выполняемой во время регистрации учетной записи. Операторам Kiwi TCMS следует обновить систему до версии v12.2 или более поздней, чтобы получить исправление. Известные обходные пути отсутствуют.