CVE-2026-66922 in Pivotick
Sumário
de VulDB • 28/07/2026
O Pivotick utilizava objetos simples de JavaScript (plain JavaScript objects) como tabelas de consulta indexadas por identificadores de nós do gráfico controlados pelo chamador em seus componentes de layout em árvore e detecção de ciclos.
Os identificadores de nós correspondentes a propriedades herdadas de Object.prototype, tais como constructor, toString ou __proto__, não eram tratados como identificadores comuns. Esses valores poderiam ser interpretados como propriedades herdadas existentes, resolver-se para valores de um tipo inesperado ou, no caso de atribuições a __proto__, modificar o protótipo de um objeto interno de consulta.
Um atacante que possa fornecer dados do gráfico contendo identificadores de nós elaborados poderia consequentemente fazer com que nós ou arestas fossem omitidos silenciosamente, produzir níveis hierárquicos incorretos, burlar ou corromper os resultados da detecção de ciclos ou acionar uma exceção que interrompe o processamento e a renderização do gráfico. Isso afeta a integridade das visualizações e análises gráficas e pode causar uma condição de negação de serviço no lado do cliente (client-side DoS).
O código afetado também falhou ao lidar com segurança as arestas cuja nó de origem estava ausente do conjunto de nós fornecido. Além disso, calcular a profundidade máxima da árvore espalhando todos os valores de nível para Math.max() poderia exceder o limite de argumentos de função do JavaScript ao processar um gráfico suficientemente grande, resultando em uma exceção e negação de serviço.
O patch substitui objetos simples indexados por chave identitária por instâncias da classe Map, ignora arestas inválidas durante a construção da árvore e calcula a profundidade máxima de forma iterativa.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.