CVE-2026-67174 in Pivotick
Zusammenfassung
von VulDB • 28.07.2026
Pivotick enthält eine auf dem DOM basierende Cross-Site-Scripting-(XSS)-Schwachstelle in seinen generischen UI-Elementauflösungs- und Icon-Rendernutzzprogrammen.
Die Funktion `tryResolveHTMLElement` behandelte jeden aufgelösten String als HTML-Markup, indem sie ihn über `innerHTML` einem `<template>`-Element zuwies. Strings, die von nicht vertrauenswürdigen Graph-Eigenschaften oder benutzerdefinierten Rendering-Rückruffunktionen abgeleitet wurden, konnten daher beliebige HTML- oder SVG-Elemente in das aktive Dokument einfügen. Die anfällige Funktion wurde von mehreren UI-Komponenten verwendet, darunter Header, Eigenschaftspanels, zusätzliche Panels und Tooltips.
Darüber hinaus fügte `createIcon` vom Aufrufer bereitgestelltes svgIcon-Markup ohne Sanitization (Bereinigung) in eine Vorlage ein. Eine Anwendung, die Pivotick integriert und Icon-Markup aus nicht vertrauenswürdigen Daten ableitet, könnte daher einen zweiten Pfad zur Ausführung von Skripten offenlegen.
Ein nicht authentifizierter Angreifer, der in der Lage ist, einen speziell angefertigten Graphen, Eigenschaftswert, Rendering-Ergebnis oder SVG-Icon bereitzustellen, kann JavaScript im Browser eines anderen Benutzers ausführen, wenn die betroffene Anzeige angezeigt oder mit ihr interagiert wird. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, auf Informationen zuzugreifen, die für das Opfer verfügbar sind, Graphdaten oder den Anwendungszustand zu manipulieren und Aktionen mit den Berechtigungen des Opfers durchzuführen.
Der Patch ändert die String-Rendernutzung so, dass `textContent` verwendet wird, wodurch Aufrufer explizit ein Element zurückgeben müssen, wenn HTML-Rendern beabsichtigt ist. Zudem werden SVG-Icon-Markups vor dem Einfügen in das DOM bereinigt (sanitized).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.