CVE-2026-67174 in Pivotick
Сводка
по VulDB • 28.07.2026
В Pivotick обнаружена уязвимость межсайтового скриптинга (XSS) на основе DOM в механизмах разрешения универсальных элементов пользовательского интерфейса и рендеринга значков.
Функция tryResolveHTMLElement воспринимала любую разрешённую строку как HTML-разметку, присваивая её элементу `<template>` через свойство innerHTML. Строки, полученные из недоверенных свойств графа или пользовательских обратных вызовов рендеринга, могли因此在 внедрять произвольные элементы HTML или SVG в активный документ (live document). Уязвимая функция использовалась несколькими компонентами UI, включая заголовки, панели свойств, дополнительные панели и всплывающие подсказки.
Кроме того, функция createIcon вставляла предоставленную вызывающей стороной разметку svgIcon в шаблон без предварительной санитизации (очистки). Приложение, интегрирующее Pivotick и получающее разметку значков из недоверенных данных, могло таким образом открыть второй путь выполнения скриптов.
Неавторизованный злоумышленник, способный предоставить специально созданный граф, значение свойства, результат рендеринга или SVG-значок, может выполнить JavaScript в браузере другого пользователя при отображении или взаимодействии с затронутым контентом. Успешная эксплуатация позволяет злоумышленнику получать доступ к информации, доступной жертве, манипулировать данными графа или состоянием приложения и выполнять действия от имени жертвы.
Исправление изменяет механизм рендеринга строк на использование textContent, требуя от вызывающих сторон явно возвращать объект Element при намерении использовать HTML-рендеринг. Также перед вставкой разметки SVG-значков в DOM выполняется их санитизация.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.