CVE-2023-27489
Açıklama
Kiwi TCMS, hem manuel hem de otomatik testler için açık kaynaklı bir test yönetim sistemidir. Kiwi TCMS, kullanıcılar tarafından yüklenen ve potansiyel olarak JavaScript kodu içerebilen SVG dosyalarını kabul etmektedir. SVG görsellerine doğrudan bakıldığında, yani bir HTML sayfasında işlenmediğinde, bu JavaScript kodu yürütülebilir. Bu güvenlik açığı, tüm modern tarayıcılarda satır içi JavaScript'i engelleyen Content-Security-Policy HTTP başlığı ile hizmet verecek şekilde Kiwi TCMS yapılandırılarak giderilmiştir. Bu yapılandırma değişikliği sürüm 12.1 ile sağlanmıştır ve kullanıcılara yükseltme yapmaları önerilmektedir. Yükseltme yapamayan kullanıcılar, Content-Security-Policy HTTP başlıklarını manuel olarak ayarlayabilirler.
Nasıl düzeltilir
- kiwitcms kiwi_tcms12.1 ya da sonraki bir sürüm
- kiwitcms12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kiwitcms kiwi_tcms | v < 12.1 | 12.1 |
| kiwitcmsPyPI | v < 12.1 | 12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.