CVE-2026-67174

Nome do Software Vulnerável e Versões Afetadas Pivotick (versões afetadas não especificadas)

Description Um problema de cross-site scripting baseado em DOM existe em utilitários genéricos de resolução de elementos de UI e renderização de ícones. A função tryResolveHTMLElement() trata strings resolvidas como marcação HTML ao atribuí-las a um elemento <template> via innerHTML, permitindo que elementos HTML ou SVG arbitrários sejam introduzidos no documento por meio de propriedades de grafo não confiáveis ou callbacks de renderização personalizados. Esta função afeta cabeçalhos, painéis de propriedades, painéis extras e tooltips. Além disso, a função createIcon() insere a marcação svgIcon em um template sem sanitização. Um invasor não autenticado que forneça um grafo, valor de propriedade, resultado de renderização ou ícone SVG manipulado pode executar JavaScript no navegador de um usuário, potencialmente levando ao acesso não autorizado a informações, manipulação de dados de grafo ou estado do aplicativo e ações realizadas com os privilégios da vítima.

Recommendations Atualize o software para uma versão onde a renderização de strings utilize textContent em vez de innerHTML e a marcação de ícones SVG seja sanitizada antes da inserção no DOM. Como mitigação temporária, restrinja o uso de propriedades de grafo não confiáveis, callbacks de renderização personalizados e ícones SVG fornecidos pelo usuário nas funções tryResolveHTMLElement() e createIcon().