CVE-2026-67174 in Pivotick
Resumen
por VulDB • 2026-07-28
Pivotick contiene una vulnerabilidad de cross-site scripting (XSS) basada en el DOM en sus utilidades para la resolución genérica de elementos de la interfaz de usuario y la representación de iconos.
La función `tryResolveHTMLElement` trataba cualquier cadena resuelta como marcado HTML al asignarla a un elemento `<template>` mediante `innerHTML`. Por lo tanto, las cadenas derivadas de propiedades del grafo no confiables o devoluciones de llamada de renderizado personalizadas podrían introducir elementos HTML o SVG arbitrarios en el documento activo. La función vulnerable era utilizada por múltiples componentes de la interfaz de usuario, incluidos encabezados, paneles de propiedades, paneles adicionales y herramientas emergentes (tooltips).
Además, `createIcon` insertaba el marcado svgIcon proporcionado por quien llamaba a una plantilla sin realizar ninguna sanitización. Una aplicación que integrara Pivotick y derivara el marcado del icono de datos no confiables podría exponer así un segundo camino para la ejecución de scripts.
Un atacante no autenticado capaz de proporcionar un grafo, valor de propiedad, resultado de renderizado o icono SVG manipulados ad hoc podría ejecutar JavaScript en el navegador de otro usuario cuando se muestre o interactúe con el contenido afectado. La explotación exitosa podría permitir al atacante acceder a la información disponible para la víctima, manipular los datos del grafo o el estado de la aplicación y realizar acciones con los privilegios de la víctima.
El parche modifica el renderizado de cadenas para utilizar `textContent`, lo que obliga a quienes llaman a devolver explícitamente un Elemento cuando se pretende una representación HTML. También sanitiza el marcado svgIcon antes de insertarlo en el DOM.
If you want to get best quality of vulnerability data, you may have to visit VulDB.