CVE-2026-66825

Pivotick proqramının sidebar property-list komponentində saytlararası skriptinq (XSS) zəifliyi mövcuddur. url, uri, href, link, website və ya homepage kimi link bənzəri xüsusiyyətlərlə əlaqəli dəyərlər, onların URL sxemi yoxlanılmadan hiperlinklər şəklində təqdim edilmişdir. Node və ya edge xüsusiyyət məlumatlarını təmin edə bilən və ya onlara təsir göstərə bilən hücumçu, boşluqlar və ya idarəetmə simvolları ilə gizlədilmiş variantlar da daxil olmaqla, javascript: sxemindən istifadə edərək zərərli dəyər təqdim edə bilər. Əgər istifadəçi yaradılmış xüsusiyyət linkinə klikləsə, hücumçunun nəzarət etdiyi JavaScript kodu Pivotick tətbiqinin kontekstində icra oluna bilər. Uğurlu istismar hücumçuya qurbanın brauzer sessiyasında mövcud olan məlumatlara giriş əldə etməyə və ya qurbanın imtiyazları ilə hərəkətlər yerinə yetirməyə imkan verə bilər. Zəiflik, xüsusiyyət dəyərlərinin normallaşdırılması və ağ siyahıya daxil edilməmiş sxemlərə malik URL-lərin kliklənə bilən linklər kimi təqdim olunmasının qarşısının alınması ilə aradan qaldırılmışdır.