CVE-2026-67174 in Pivotick
要約
〜によって VulDB • 2026年07月28日
Pivotickには、汎用的なUI要素の解決およびアイコン描画ユーティリティにおけるDOMベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。
tryResolveHTMLElement関数は、innerHTMLを通じて任意のリゾルブされた文字列をHTMLマークアップとして処理していました。信頼できないグラフプロパティやカスタムレンダリングコールバックから派生した文字列は、結果としてライブドキュメント内に任意のHTMLまたはSVG要素を導入する可能性があります。この脆弱な関数は、ヘッダー、プロパティパネル、追加パネル、ツールチップなどを含む複数のUIコンポーネントで使用されていました。
さらに、createIcon関数は、サニタイズ処理を行わずに呼び出し元が指定したsvgIconマークアップをテンプレートに挿入していました。Pivotickを組み込み、アイコンマークアップを信頼できないデータから取得するアプリケーションは、スクリプト実行の経路が2つ存在することにより攻撃対象となる可能性があります。
認証されていない攻撃者が、改ざんされたグラフ、プロパティ値、レンダリング結果、またはSVGアイコンを提供できる場合、影響を受けるコンテンツが表示されたり対話されたりした際に、他のユーザーのブラウザ内でJavaScriptを実行することができます。成功した場合、攻撃者は被害者にアクセス可能な情報にアクセスしたり、グラフデータやアプリケーションの状態を操作したり、被害者の権限でアクションを実行することが可能になります。
パッチでは、文字列レンダリングがtextContentの使用に変更され、HTMLレンダリングが意図されている場合に呼び出し元が明示的にElementを返すことが要求されます。また、DOMに挿入する前にSVGアイコンマークアップのサニタイズ処理が行われます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.