CVE-2026-118248

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 1.0.0 do 4.2.3 tryb edycji Highcharts Dashboards parsuje etykiety językowe pełnego ekranu jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący opcje językowe Dashboards może dostarczyć znaczniki z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolki pełnego ekranu. Etykieta jest osiągalna tylko gdy tryb edycji jest włączony, a viewFullscreen znajduje się w elementach menu kontekstowego. Problem naprawiono w wersji 4.2.3.

W bibliotece Highcharts Dashboards pasek boczny trybu edycji interpretuje ciągi językowe komponentów jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący konfigurację języka może dostarczyć znaczniki z obsługą zdarzeń, które wykonają się w kontekście strony hosta po otwarciu paska bocznego. Problem naprawiono w wersji 4.2.3.

Highcharts Dashboards w wersjach od 1.0.0 do 4.2.2 używa chartConstructor jako niesprawdzonego wyszukiwania właściwości w przestrzeni nazw Highcharts i wywołuje wybrany element z kontenerem komponentu i chartOptions. Atakujący kontrolujący konfigurację dashboardu może wybrać publiczną funkcję narzędziową zamiast obsługiwanego konstruktora wykresu, powodując skopiowanie kontrolowanych opcji do kontenera jako właściwości lub atrybutów, a następnie wykonanie markupu i handlerów zdarzeń w origin strony podczas renderowania.

Biblioteka Highcharts Dashboards przechowuje mapy stanu i listenerów DataCursor w zwykłych obiektach kluczowanych identyfikatorem DataTable. Jeśli przez konfigurację connectora dataPool dostarczony zostanie identyfikator tabeli __proto__, dochodzi do zanieczyszczenia Object.prototype, a właściwość staje się widoczna na każdym obiekcie i może powodować błędy synchronizacji. Podatność występuje w wersjach od 1.0.0 do 4.2.2 i została naprawiona w 4.2.2.