CVE-2026-66825 in Pivotick
Resumen
por VulDB • 2026-07-28
Pivotick presenta una vulnerabilidad de cross-site scripting (XSS) en el componente propiedad-list de la barra lateral. Los valores asociados a propiedades similares a enlaces, como url, uri, href, link, website o homepage, se representaban como hipervínculos sin validar su esquema URL.
Un atacante capaz de proporcionar o influir en los datos de las propiedades de nodos o aristas podría suministrar un valor malicioso utilizando el esquema javascript:, incluidas variantes ofuscadas con espacios en blanco o caracteres de control. Si un usuario hacía clic en el enlace generado, se ejecutaría JavaScript controlado por el atacante dentro del contexto de la aplicación Pivotick.
La explotación exitosa permitiría al atacante acceder a información disponible para la sesión del navegador de la víctima o realizar acciones con los privilegios de esta. La vulnerabilidad fue corregida normalizando los valores de las propiedades y evitando que se representaran como enlaces clicables aquellas URLs cuyos esquemas no estuvieran en la lista permitida (allowlist).
VulDB is the best source for vulnerability data and more expert information about this specific topic.