CVE-2026-118254
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid zapisuje ciągi językowe paginacji do DOM jako znaczniki zamiast tekstu. Atakujący kontrolujący konfigurację języka Grid może podać elementy z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolek paginacji. Wykorzystanie wymaga włączenia paginacji, ale nie wymaga dodatkowej interakcji użytkownika. Problem naprawiono w wersji 3.2.0.
Ocena ryzyka
Możliwe jest wykonanie skryptu w kontekście strony hostingowej bez interakcji użytkownika, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy aplikacji z włączoną paginacją i konfiguracją języka z niezaufanego źródła.
Rekomendacja
Zaktualizuj Highcharts Grid do wersji 3.2.0 (lub nowszej). Nie pozwalaj na konfigurację języka Grid z niezaufanych źródeł i waliduj treści językowe.
Inne podatności w Highcharts Grid
Zobacz wszystkie- CVE-2026-118255Wysokie
Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid stosuje credits.href do linku credits bez walidacji schematu URL. Atakujący kontrolujący konfigurację Grid może podać URL javascript, a aktywacja linku credits uruchamia skrypt w origin strony hostingowej z dostępem do danych i stanu sesji aplikacji. Problem naprawiono w Grid Pro 3.2.0.
- CVE-2026-118242Wysokie
Biblioteka Highcharts Grid tworzy elementy SVG na podstawie definicji ikon i kopiuje wszystkie klucze potomne przez setAttribute. Atakujący kontrolujący konfigurację może podać nazwy atrybutów obsługi zdarzeń w definicji ikony i zastąpić domyślne ikony sortowania lub paginacji, co prowadzi do wykonania skryptu w kontekście strony przy najechaniu lub aktywacji ikony. Problem naprawiono w wersji 3.2.0.
Oryginalny opis (angielski, źródło NVD)
Highcharts JS is a JavaScript charting library based on SVG. From 2.0.0 until 3.2.0, Highcharts Grid writes pagination language strings into the DOM as markup instead of text. An attacker who controls the Grid language configuration can provide elements with event handlers, which execute in the hosting page origin when pagination controls render. Exploitation requires pagination to be enabled but does not require additional user interaction. This issue is fixed in 3.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS