Vulnerabilidad en Pivotick - Stack Exhaustion Denial of Service via Deep or Cyclic Graph Data (CVE-2026-66920)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
28/07/2026
Última modificación:
24/10/2026
Descripción
Pivotick contiene una vulnerabilidad de recursión incontrolada al procesar datos de gráficos y nodos proporcionados por el llamador. Los algoritmos de gráficos afectados recorrieron recursivamente los bordes del gráfico, mientras que el visor JSON procesó recursivamente cada nivel de la estructura de datos de un nodo. Un gráfico especialmente diseñado que contiene una ruta excesivamente larga, propiedades profundamente anidadas o referencias circulares de objetos podría, por lo tanto, agotar la pila de llamadas de JavaScript cuando Pivotick calcula un diseño o muestra un nodo en el modal de inspección.<br />
<br />
La explotación exitosa puede causar una excepción no detectada, congelar la página afectada o bloquear la pestaña del navegador, lo que resulta en una denegación de servicio del lado del cliente. No se ha identificado ningún impacto en la confidencialidad o integridad.<br />
<br />
El parche reemplaza los recorridos recursivos del gráfico con implementaciones iterativas basadas en pila y limita el cálculo de alcanzabilidad a 1,000,000 de recorridos de bordes. También limita la representación JSON a 64 niveles y detecta referencias circulares antes de descender más en un objeto.
Impacto
Puntuación base 4.0
8.20
Gravedad 4.0
ALTA