CVE-2023-30613
Təsvir
Açıq mənbəli test idarəetmə sistemi olan Kiwi TCMS istifadəçilərə test planlarına, test keyslərinə və s. əlavələr yükləməyə imkan verir. Kiwi TCMS-in 12.2 versiyasından əvvəlki versiyalarda hansı növ faylların yüklənə biləcəyi üzərində nəzarət yoxdur. Beləliklə, zərərli aktor `.exe` faylı və ya daxilinə JavaScript yerləşdirilmiş fayl yükləyə və digərlərini bu fayllara klikləməyə vadar edərək həssas brauzerlərdə başqa kompüterdə zərərli kodun icrasına səbəb ola bilər. Kiwi TCMS v12.2 administratorlara yükləmə üçün qəbul edilən fayl növləri üzərində daha çox nəzarət imkanı verən əlavə yükləmə təsdiqləyici funksiyalarını konfiqurasiya etməyə imkan verən funksionallıqla təmin edilmişdir. Defolt olaraq `.exe` faylları rədd edilir. Növlərindən asılı olmayaraq, tərkibində `<script>` teqi olan digər fayllar da XSS hücumlarına yol açdığı üçün rədd edilir. Yeniləmədən başqa heç bir məlum alternativ həll yolu yoxdur.
Necə düzəltmək olar
- kiwitcms kiwi_tcms12.2 və ya daha yeni versiya
- kiwitcms12.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kiwitcms kiwi_tcms | v < 12.2 | 12.2 |
| kiwitcmsPyPI | v < 12.2 | 12.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.