Kiwi TCMS's misconfigured HTTP headers allow stored XSS execution with Firefox
Impact
Kiwi TCMS allows users to upload attachments to test plans, test cases, etc. Earlier versions of Kiwi TCMS had introduced changes which were meant to serve all uploaded files as plain text in order to prevent browsers from executing potentially dangerous files when such files are accessed directly!
The previous Nginx configuration was incorrect allowing certain browsers like Firefox to ignore the Content-Type: text/plain header on some occasions thus allowing potentially dangerous scripts to be executed.
Additionally file upload validators and parts of the HTML rendering code have been found to require additional sanitation and improvements.
Patches
- Updated Nginx content type configuration
- Improved file upload validation code to prevent more potentially dangerous uploads
- Sanitization of test plan names used in the
tree_view_html()function
References
Disclosed by M Nadeem Qazi and Mahshooq Zubair.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | kiwitcms | < 12.5 | 12.5 |
Verweise
- https://github.com/kiwitcms/Kiwi/security/advisories/GHSA-jpgw-2r9m-8qfw
- https://nvd.nist.gov/vuln/detail/CVE-2023-36809
- https://github.com/kiwitcms/kiwi/commit/195ea53eaaf360c19227c864cc0fe58910032c3c
- https://github.com/kiwitcms/kiwi/commit/ffb00450be52fe11a82a2507632c2328cae4ec9d
- https://github.com/kiwitcms/Kiwi
- https://huntr.dev/bounties/511489dd-ba38-4806-9029-b28ab2830aa8
- https://huntr.dev/bounties/c6eeb346-fa99-4d41-bc40-b68f8d689223
- https://kiwitcms.org/blog/kiwi-tcms-team/2023/07/04/kiwi-tcms-125
- https://www.github.com/kiwitcms/kiwi/commit/195ea53eaaf360c19227c864cc0fe58910032c3c
- https://www.github.com/kiwitcms/kiwi/commit/ffb00450be52fe11a82a2507632c2328cae4ec9d
- https://pypi.org/project/kiwitcms
- https://github.com/advisories/GHSA-jpgw-2r9m-8qfw
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N- Schwäche (CWE)
CWE-434, CWE-79- Plattform
- Python (PyPI)
- Paket
kiwitcms- Veröffentlicht
- 05.07.2023
- Aktualisiert
- 11.10.2026 13:18
Quellen und Lizenzen
OSV / GitHub Advisory Database - PYSEC-2026-1499 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-jpgw-2r9m-8qfw - CC BY 4.0
Schwachstellenhistorie: kiwitcms
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 13
- Erste → letzte
- 11.2022 07.2026
- Ohne Fix
- 3
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 7
- Mittel 3
- Niedrig 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 9
- 2024: 0
- 2025: 0
- 2026: 3
-
Kiwi TCMS's misconfigured HTTP headers allow stored XSS execution with Firefox dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.