CVE-2026-66920 in Pivotick
요약
\~에 의해 VulDB • 2026. 07. 28.
Pivotick에는 호출자가 제공한 그래프 및 노드 데이터를 처리할 때 제어되지 않은 재귀(uncontrolled-recursion) 취약점이 존재합니다. 영향을 받는 그래프 알고리즘은 그래프 간선을 재귀적으로 순회하며, JSON 뷰어는 노드의 데이터 구조 각 레벨을 재귀적으로 처리했습니다. 따라서 excessively long path(지나치게 긴 경로), 깊게 중첩된 속성(circular object references 또는 deeply nested properties)이 있거나 순환 객체 참조가 포함된 특별히 조작된 그래프를 사용하면 Pivotick에서 레이아웃 계산이나 검사 모달에서 노드를 표시할 때 JavaScript 호출 스택(call stack)을 고갈시킬 수 있습니다.
성공적인 악용은 잡지 못한 예외(uncaught exception) 발생, 영향받는 페이지의 멈춤(freeze), 또는 브라우저 탭 충돌(crash)을 유발하여 클라이언트 측 서비스 거부(client-side denial of service)를 초래할 수 있습니다. 기밀성(confidentiality)이나 무결성(integrity)에 대한 영향은 확인되지 않았습니다.
패치는 재귀적 그래프 순회를 반복형 스택 기반(iterative stack-based) 구현으로 대체하고, 도달 가능성 계산(reachability calculation)을 100만 번의 간선 순회(edge traversals)로 제한합니다. 또한 JSON 렌더링(JSON rendering)을 64 레벨까지만 허용하며 객체 내부로 더 깊이 들어가기 전에 순환 참조(circular references)를 감지합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.