CVE-2023-33977

Kiwi TCMS həm manual, həm də avtomatlaşdırılmış sınaqlar üçün açıq mənbəli test idarəetmə sistemidir. Kiwi TCMS istifadəçilərə test planlarına, test keyslərinə və s. qoşmalar yükləməyə imkan verir. Kiwi TCMS-in əvvəlki versiyalarında potensial təhlükəli faylların yüklənməsinin qarşısını almaq üçün yükləmə validatorları və saytlararası skriptinq (XSS) hücumlarının qarşısını almaq üçün Content-Security-Policy tərifi tətbiq edilmişdi. Yükləmə validasiyası yoxlamaları tam etibarlı olmadığı üçün onları yan keçərək brauzerdə ixtiyari JavaScript kodunun icrasına imkan verən potensial təhlükəli faylın yüklənməsi ehtimalı qalmışdı. Əlavə olaraq aşkar edilmişdir ki, Nginx-in `proxy_pass` direktivi bəzi başlıqları silir və bu, Kiwi TCMS reverse proxy arxasında xidmət göstərdikdə daxili mühafizə mexanizmlərini sıradan çıxarır. Bu problem 12.4 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etməkləri tövsiyə olunur. Yeniləmə edə bilməyən və Kiwi TCMS-i reverse proxy arxasında istifadə edən şəxslər, əlavə başlıq dəyərlərinin hələ də müştəri brauzerinə ötürüldüyündən əmin olmalıdırlar. Əks halda, onlar bu dəyərləri proxy konfiqurasiyasında yenidən təyin etməlidirlər.