CVE-2026-55630

Nome do Software Vulnerável e Versões Afetadas Kiwi TCMS versões anteriores a 16.1

Descrição A entrada do usuário nos campos TestCase.extra link e TestPlan.extra link não é sanitizada e é renderizada literalmente, permitindo a execução de cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. Implantações que utilizam imagens Docker oficiais ou middleware não modificado utilizam um cabeçalho Content-Security-Policy que bloqueia a execução de JavaScript inline, mitigando o risco. No entanto, implantações personalizadas com configurações de segurança modificadas permanecem suscetíveis.

Recomendações Atualizar para a versão 16.1.