Denial of service vulnerability on Password reset page
Impact
Previous versions of Kiwi TCMS do not impose rate limits which makes it easier to attempt denial-of-service attacks against the Password reset page. An attacker could potentially send a large number of emails if they know the email addresses of users in Kiwi TCMS. Additionally that may strain SMTP resources.
Patches
Users should upgrade to v12.0 or later.
Workarounds
Users may install and configure a rate-limiting proxy in front of Kiwi TCMS such as Nginx and/or configure rate limits on their email server when possible.
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | kiwitcms | < 12.0 | 12.0 |
Odnośniki
- https://github.com/kiwitcms/Kiwi/security/advisories/GHSA-7j9h-3jxf-3vrf
- https://nvd.nist.gov/vuln/detail/CVE-2023-25171
- https://github.com/kiwitcms/Kiwi/commit/761305d04f5910ba14cc04d1255a8f1afdbb87f3
- https://github.com/kiwitcms/Kiwi
- https://huntr.dev/bounties/3b712cb6-3fa3-4f71-8562-7a7016c6262e
- https://kiwitcms.org/blog/kiwi-tcms-team/2023/02/15/kiwi-tcms-120
- https://pypi.org/project/kiwitcms
- https://github.com/advisories/GHSA-7j9h-3jxf-3vrf
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-770- Platforma
- Python (PyPI)
- Paczka
kiwitcms- Ujawniono
- 15.02.2023
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-836 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-7j9h-3jxf-3vrf - CC BY 4.0
Historia podatności: kiwitcms
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 13
- Pierwsza → ostatnia
- 11.2022 07.2026
- Bez poprawki
- 3
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 7
- Średnia 3
- Niska 3
Ujawnienia w latach
- 2022: 1
- 2023: 9
- 2024: 0
- 2025: 0
- 2026: 3
-
Denial of service vulnerability on Password reset page ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.