CVE-2026-67174 in Pivotick
Résumé
par VulDB • 28/07/2026
Pivotick présente une vulnérabilité de type cross-site scripting (XSS) basée sur le DOM dans ses utilitaires de résolution des éléments génériques de l'interface utilisateur et d'affichage des icônes.
La fonction `tryResolveHTMLElement` traitait toute chaîne résolue comme du balisage HTML en lui assignant la propriété `innerHTML` d'un élément `<template>`. Des chaînes dérivées de propriétés graphiques non fiables ou de rappels (callbacks) de rendu personnalisés pouvaient ainsi introduire des éléments HTML ou SVG arbitraires dans le document actif. La fonction vulnérable était utilisée par plusieurs composants de l'interface utilisateur, notamment les en-têtes, les panneaux de propriétés, les panneaux supplémentaires et les infobulles.
De plus, `createIcon` insérait le balisage svgIcon fourni par l'appelant dans un modèle sans aucune sanitisation (nettoyage). Une application intégrant Pivotick et dérivant le balisage des icônes de données non fiables pouvait donc exposer une seconde voie d'exécution de scripts.
Un attaquant n'ayant pas besoin de s'authentifier, capable de fournir un graphe, une valeur de propriété, un résultat de rendu ou une icône SVG truqués, pourrait exécuter du JavaScript dans le navigateur d'un autre utilisateur lorsque le contenu affecté est affiché ou interactif. Une exploitation réussie permettrait à l'attaquant d'accéder aux informations accessibles à la victime, de manipuler les données du graphe ou l'état de l'application, et d'effectuer des actions avec les privilèges de la victime.
Le correctif modifie le rendu des chaînes pour utiliser `textContent`, obligeant ainsi les appelants à retourner explicitement un élément lorsque le rendu HTML est prévu. Il effectue également une sanitisation du balisage SVG des icônes avant son insertion dans le DOM.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.