CVE-2026-67174 in Pivotick
Riassunto
di VulDB • 28/07/2026
Pivotick presenta una vulnerabilità di cross-site scripting (XSS) basata sul DOM nella risoluzione degli elementi generici dell'interfaccia utente e nelle utility per il rendering delle icone.
La funzione `tryResolveHTMLElement` trattava qualsiasi stringa risolta come markup HTML assegnandola a un elemento `<template>` tramite la proprietà `innerHTML`. Di conseguenza, le stringhe derivate da proprietà del grafo non attendibili o da callback di rendering personalizzati potevano introdurre elementi HTML o SVG arbitrari nel documento attivo. La funzione vulnerabile era utilizzata da più componenti dell'interfaccia utente, inclusi intestazioni, pannelli delle proprietà, pannelli aggiuntivi e tooltip.
Inoltre, `createIcon` inseriva il markup `svgIcon` fornito dal chiamante in un template senza alcuna sanificazione. Un'applicazione che integra Pivotick e deriva il markup delle icone da dati non attendibili potrebbe quindi esporre un secondo percorso di esecuzione dello script.
Un attaccante non autenticato in grado di fornire un grafo, un valore di proprietà, un risultato di rendering o un'icona SVG costruiti ad hoc potrebbe eseguire JavaScript nel browser di un altro utente quando il contenuto interessato viene visualizzato o interagito con esso. Un'esecuzione riuscita dell'exploit potrebbe consentire all'attaccante di accedere alle informazioni disponibili per la vittima, manipolare i dati del grafo o lo stato dell'applicazione ed eseguire azioni con i privilegi della vittima.
La patch modifica il rendering delle stringhe in modo da utilizzare `textContent`, richiedendo ai chiamanti di restituire esplicitamente un elemento quando è previsto il rendering HTML. Sanifica inoltre il markup SVG delle icone prima di inserirlo nel DOM.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.