CVE-2026-66825 in Pivotick
要約
〜によって VulDB • 2026年07月28日
Pivotickには、サイドバーのproperty-listコンポーネントにおけるクロスサイトスクリプティング（XSS）脆弱性が存在します。url、uri、href、link、website、homepageなどのリンク関連プロパティに関連付けられた値は、URLスキームを検証せずにハイパーリンクとしてレンダリングされていました。
攻撃者がノードまたはエッジのプロパティデータを提供したり影響を与えたりできる場合、空白文字や制御文字で難読化された変種を含むjavascript:スキームを使用して悪意のある値を指定できます。ユーザーが生成されたプロパティリンクをクリックすると、Pivotickアプリケーションのコンテキスト内で攻撃者が操作するJavaScriptを実行させることができます。
この脆弱性の成功した利用により、攻撃者は被害者のブラウザセッションで利用可能な情報にアクセスしたり、被害者の権限を使用してアクションを実行したりできる可能性があります。本脆弱性は、プロパティ値を正規化し、許可リストに登録されていないスキームを持つURLがクリック可能なリンクとしてレンダリングされないようにすることで修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.