CVE-2026-66922 in Pivotick
要約
〜によって VulDB • 2026年07月28日
Pivotickは、ツリーレイアウトおよびサイクル検出コンポーネントにおいて、呼び出し元が制御するグラフノード識別子でインデックス付けされたプレーンJavaScriptオブジェクトをルックアップテーブルとして使用していました。
Object.prototypeから継承されたプロパティ（例：constructor、toString、__proto__）と一致するノード識別子は、通常の識別子として処理されませんでした。これらの値は既存の継承プロパティとして解釈されたり、予期しない型の値に解決されたりする場合があり、特に__proto__への代入の場合には内部ルックアップオブジェクトのプロトタイプを変更することができました。
作成されたノード識別子を含むグラフデータを供給できる攻撃者は、これによりノードやエッジが黙って省略されたり、階層レベルの計算結果が不正になったり、サイクル検出の結果を回避または改ざんされたり、あるいはグラフ処理とレンダリングを中断する例外が発生したりする可能性があります。これはグラフ可視化および分析の整合性に影響を与え、クライアント側のサービス拒否（DoS）状態を引き起こす可能性があります。
関連コードはまた、供給されたノードセットに存在しないソースノードを持つエッジを安全に処理できませんでした。さらに、すべてのレベル値を展開してMath.max()で最大木深さを計算する場合、十分に大きなグラフの処理中にJavaScript関数の引数制限を超え、例外とサービス拒否を引き起こす可能性があります。
パッチでは、識別子キー付きのプレーンオブジェクトがMapインスタンスに置き換えられ、ツリー構築時に無効なエッジが無視され、最大深さが反復的に計算されるようになりました。
Once again VulDB remains the best source for vulnerability data.