CVE-2026-118251

WysokieCVSS 8.4

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

W Highcharts przed wersjami 11.4.9, 12.6.1 i 13.1.0 kliknięcie etykiety credits przypisuje credits.href do lokalizacji okna bez sprawdzenia URL względem listy dozwolonych schematów. Atakujący kontrolujący konfigurację wykresu może podać URL javascript i wykonać skrypt w kontekście strony hosta. Problem dotyczy także Highcharts Stock, Maps i Gantt, ponieważ pochodzą z tego samego pakietu.

Ocena ryzyka

Umożliwia wykonanie dowolnego skryptu (XSS) po kliknięciu etykiety credits, co może skutkować przejęciem sesji użytkownika.

Rekomendacja

Zaktualizuj Highcharts (oraz Stock, Maps, Gantt) do wersji 11.4.9, 12.6.1 lub 13.1.0 i późniejszych.

Inne podatności w Highcharts

CVE-2026-116796Wysokie
Highcharts akceptuje atrybut SVG anchor xlink:href bez sprawdzenia dozwolonego schematu stosowanego dla href i src. Atakujący kontrolujący opcję tekstu wykresu może zachować adres URL javascript: w serializowanym wyjściu wykresu, a po ponownym przetworzeniu wyeksportowanego lub serwerowo renderowanego SVG i aktywacji linku skrypt wykonuje się w origin tego dokumentu. Problem naprawiono w wersjach 11.4.9, 12.6.2 i 13.1.1.

Oryginalny opis (angielski, źródło NVD)

Highcharts JS is a JavaScript charting library based on SVG. Prior to 11.4.9, 12.6.1, and 13.1.0, Highcharts assigns credits.href to the window location when the credits label is clicked without checking the URL against the allowed-scheme list. An attacker who controls chart configuration can provide a javascript URL and run script in the origin of the hosting page when a user clicks the credits label. Highcharts Stock, Maps, and Gantt are included because they ship from the same package. This issue is fixed in 11.4.9, 12.6.1 and 13.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS