CVE-2026-66825 in Pivotick
Zusammenfassung
von VulDB • 28.07.2026
Pivotick weist eine Cross-Site-Scripting-(XSS)-Schwachstelle in der sidebar-Eigenschaftsliste-Komponente auf. Werte, die mit linkähnlichen Eigenschaften wie url, uri, href, link, website oder homepage verknüpft sind, wurden als Hyperlinks gerendert, ohne ihr URL-Schema zu validieren.
Ein Angreifer, der in der Lage ist, Knoten- oder Kanten-Eigenschaftsdaten bereitzustellen oder zu beeinflussen, könnte einen bösartigen Wert unter Verwendung des javascript:-Schemas bereitstellen, einschließlich Varianten, die mit Leerzeichen oder Steuerzeichen verschleiert sind. Wenn ein Benutzer auf den generierten Eigenschaftslink klickt, kann vom Angreifer gesteuertes JavaScript im Kontext der Pivotick-Anwendung ausgeführt werden.
Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, auf Informationen zuzugreifen, die für die Browsersitzung des Opfers verfügbar sind, oder Aktionen mit den Berechtigungen des Opfers durchzuführen. Die Schwachstelle wurde behoben, indem Eigenschaftswerte normalisiert und verhindert wurde, dass URLs mit nicht auf der Whitelist stehenden Schemata als anklickbare Links gerendert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.