CVE-2026-118253

W bibliotece Highcharts Dashboards pasek boczny trybu edycji interpretuje ciągi językowe komponentów jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący konfigurację języka może dostarczyć znaczniki z obsługą zdarzeń, które wykonają się w kontekście strony hosta po otwarciu paska bocznego. Problem naprawiono w wersji 4.2.3.

Tryb edycji Highcharts Dashboards przetwarza segmenty propertyPath z editableOptions bez odrzucania kluczy związanych z prototypem. Atakujący kontrolujący editableOptions może podać ścieżkę przez __proto__ lub constructor, a edycja użytkownika zapisuje skonfigurowaną wartość na Object.prototype, co wpływa na JavaScript w całej stronie. Problem naprawiono w wersji 4.2.2.

Highcharts Dashboards w wersjach od 1.0.0 do 4.2.2 używa chartConstructor jako niesprawdzonego wyszukiwania właściwości w przestrzeni nazw Highcharts i wywołuje wybrany element z kontenerem komponentu i chartOptions. Atakujący kontrolujący konfigurację dashboardu może wybrać publiczną funkcję narzędziową zamiast obsługiwanego konstruktora wykresu, powodując skopiowanie kontrolowanych opcji do kontenera jako właściwości lub atrybutów, a następnie wykonanie markupu i handlerów zdarzeń w origin strony podczas renderowania.

Biblioteka Highcharts Dashboards przechowuje mapy stanu i listenerów DataCursor w zwykłych obiektach kluczowanych identyfikatorem DataTable. Jeśli przez konfigurację connectora dataPool dostarczony zostanie identyfikator tabeli __proto__, dochodzi do zanieczyszczenia Object.prototype, a właściwość staje się widoczna na każdym obiekcie i może powodować błędy synchronizacji. Podatność występuje w wersjach od 1.0.0 do 4.2.2 i została naprawiona w 4.2.2.