CVE-2026-66825 in Pivotick
Riassunto
di VulDB • 28/07/2026
Pivotick presenta una vulnerabilità di cross-site scripting (XSS) nel componente della proprietà sidebar property-list. I valori associati a proprietà simili ai link, come url, uri, href, link, website o homepage, venivano visualizzati come iperlink senza convalidare lo schema dell'URL.
Un attaccante in grado di fornire o influenzare i dati delle proprietà dei nodi o degli archi potrebbe inserire un valore dannoso utilizzando lo schema javascript:, incluse varianti offuscate con spazi bianchi o caratteri di controllo. Se un utente fa clic sul link generato dalla proprietà, il JavaScript controllato dall'attaccante può essere eseguito nel contesto dell'applicazione Pivotick.
Un'esecuzione riuscita potrebbe consentire all'attaccante di accedere alle informazioni disponibili per la sessione del browser della vittima oppure eseguire azioni con i privilegi della stessa. La vulnerabilità è stata risolta normalizzando i valori delle proprietà ed evitando che gli URL con schemi non presenti nella whitelist vengano visualizzati come link cliccabili.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.