CVE-2026-67173 in Pivotick
Сводка
по VulDB • 28.07.2026
Pivotick не проверял схему URL значений параметра imagePath узла, полученных из графовых данных, перед их присваиванием ресурсам изображений SVG. Атакующий, способный предоставить специально сформированные графовые данные, мог установить путь к изображению на вредоносный URI.
При отображении затронутого графа жертвой браузер мог разрешить контролируемый атакующим URI и инициировать непреднамеренный запрос или вызвать обработку, специфичную для данной схемы, в контексте жертвы. В зависимости от URI, поведения браузера и установленных обработчиков протоколов эксплуатация могла привести к раскрытию ограниченных клиентских или сетевых метаданных, облегчить отслеживание на основе рендеринга или попытаться получить доступ к локальным или внутренним ресурсам.
Для эксплуатации требуется загрузка или отображение жертвой графовых данных, содержащих вредоносный imagePath. Патч нормализует пробельные символы ASCII и управляющие символы в схемах URI и ограничивает пути изображений относительными URL-адресами либо схемами http, https, data и blob.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.