CVE-2026-118252

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 1.0.0 do 4.2.3 tryb edycji Highcharts Dashboards parsuje etykiety językowe pełnego ekranu jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący opcje językowe Dashboards może dostarczyć znaczniki z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolki pełnego ekranu. Etykieta jest osiągalna tylko gdy tryb edycji jest włączony, a viewFullscreen znajduje się w elementach menu kontekstowego. Problem naprawiono w wersji 4.2.3.

Tryb edycji Highcharts Dashboards przetwarza segmenty propertyPath z editableOptions bez odrzucania kluczy związanych z prototypem. Atakujący kontrolujący editableOptions może podać ścieżkę przez __proto__ lub constructor, a edycja użytkownika zapisuje skonfigurowaną wartość na Object.prototype, co wpływa na JavaScript w całej stronie. Problem naprawiono w wersji 4.2.2.

Highcharts Dashboards w wersjach od 1.0.0 do 4.2.2 używa chartConstructor jako niesprawdzonego wyszukiwania właściwości w przestrzeni nazw Highcharts i wywołuje wybrany element z kontenerem komponentu i chartOptions. Atakujący kontrolujący konfigurację dashboardu może wybrać publiczną funkcję narzędziową zamiast obsługiwanego konstruktora wykresu, powodując skopiowanie kontrolowanych opcji do kontenera jako właściwości lub atrybutów, a następnie wykonanie markupu i handlerów zdarzeń w origin strony podczas renderowania.

Biblioteka Highcharts Dashboards przechowuje mapy stanu i listenerów DataCursor w zwykłych obiektach kluczowanych identyfikatorem DataTable. Jeśli przez konfigurację connectora dataPool dostarczony zostanie identyfikator tabeli __proto__, dochodzi do zanieczyszczenia Object.prototype, a właściwość staje się widoczna na każdym obiekcie i może powodować błędy synchronizacji. Podatność występuje w wersjach od 1.0.0 do 4.2.2 i została naprawiona w 4.2.2.