CVE-2026-66922 in Pivotick
Zusammenfassung
von VulDB • 28.07.2026
Pivotick verwendete einfache JavaScript-Objekte als Lookup-Tabellen (Suchtabellen), die nach aufruferkontrollierten Graphenknoten-Identifikatoren indiziert waren, in seinen Komponenten für Tree-Layout und Zykluserkennung.
Knotendatenidentifikatoren, die mit Eigenschaften übereinstimmen, die von Object.prototype geerbt wurden – wie constructor, toString oder __proto__ –, wurden nicht als gewöhnliche Identifikatoren behandelt. Diese Werte konnten als vorhandene vererbte Eigenschaften interpretiert werden, auf Werte eines unerwarteten Typs aufgelöst werden oder im Fall von __proto__-Zuweisungen das Prototyp des internen Lookup-Objekts ändern.
Ein Angreifer, der Graphendaten mit speziell angefertigten Knotenidentifikatoren bereitstellen kann, könnte dadurch dazu führen, dass Knoten oder Kanten stillschweigend ausgelassen werden, falsche Hierarchieebenen erzeugt werden, Ergebnisse der Zykluserkennung umgangen oder korrumpiert werden oder eine Ausnahme ausgelöst wird, die die Graphverarbeitung und -darstellung unterbricht. Dies beeinträchtigt die Integrität von Graphvisualisierungen und Analysen und kann zu einem Denial-of-Service-Zustand auf Clientseite führen.
Der betroffene Code behandelte zudem Kanten nicht sicher, deren Quellschlüsselknoten in der bereitgestellten Knotenmenge fehlten. Darüber hinaus konnte das Berechnen der maximalen Tree-Tiefe durch Übergeben aller Ebenenwerte an Math.max() die Grenze für JavaScript-Funktionsargumente überschreiten, wenn ein ausreichend großer Graph verarbeitet wurde, was zu einer Ausnahme und einem Denial of Service führte.
Der Patch ersetzt einfache Objekte mit Bezeichner-Schlüsseln durch Map-Instanzen, ignoriert ungültige Kanten während der Tree-Konstruktion und berechnet die maximale Tiefe iterativ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.