CVE-2026-66825

Pivotick, kenar çubuğu özellik listesi bileşeninde siteler arası betik çalıştırma (XSS) güvenlik açığı içeriyor. url, uri, href, link, website veya homepage gibi bağlantı benzeri özelliklerle ilişkili değerler, URL şemaları doğrulanmadan köprü olarak işleniyordu. Düğüm veya kenar özellik verilerini sağlayabilen veya etkileyebilen bir saldırgan, boşluk veya kontrol karakterleriyle gizlenmiş varyantlar dahil olmak üzere javascript: şemasını kullanan kötü niyetli bir değer sağlayabilirdi. Kullanıcı oluşturulan özellik bağlantısına tıklarsa, saldırgan tarafından kontrol edilen JavaScript, Pivotick uygulaması bağlamında çalıştırılabilirdi. Başarılı bir sömürü, saldırganın mağdurun tarayıcı oturumunda mevcut bilgilere erişmesine veya mağdurun ayrıcalıklarıyla eylemler gerçekleştirmesine olanak tanıyabilirdi. Güvenlik açığı, özellik değerlerinin normalleştirilmesi ve izin verilenler listesinde olmayan şemalara sahip URL'lerin tıklanabilir bağlantı olarak işlenmesinin engellenmesiyle giderildi.