CVE-2026-116796

WysokieCVSS 7.2

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Highcharts akceptuje atrybut SVG anchor xlink:href bez sprawdzenia dozwolonego schematu stosowanego dla href i src. Atakujący kontrolujący opcję tekstu wykresu może zachować adres URL javascript: w serializowanym wyjściu wykresu, a po ponownym przetworzeniu wyeksportowanego lub serwerowo renderowanego SVG i aktywacji linku skrypt wykonuje się w origin tego dokumentu. Problem naprawiono w wersjach 11.4.9, 12.6.2 i 13.1.1.

Ocena ryzyka

Możliwe wykonanie dowolnego skryptu (XSS) w kontekście dokumentu, w którym osadzono lub wyświetlono wyeksportowany SVG. Ryzyko dotyczy aplikacji eksportujących lub serwerowo renderujących wykresy z niezaufanymi opcjami tekstu.

Rekomendacja

Zaktualizuj Highcharts do wersji 11.4.9, 12.6.2 lub 13.1.1 (lub nowszej). Nie pozwalaj na kontrolę opcji tekstu wykresu przez niezaufanych użytkowników.

Inne podatności w Highcharts

CVE-2026-118251Wysokie
W Highcharts przed wersjami 11.4.9, 12.6.1 i 13.1.0 kliknięcie etykiety credits przypisuje credits.href do lokalizacji okna bez sprawdzenia URL względem listy dozwolonych schematów. Atakujący kontrolujący konfigurację wykresu może podać URL javascript i wykonać skrypt w kontekście strony hosta. Problem dotyczy także Highcharts Stock, Maps i Gantt, ponieważ pochodzą z tego samego pakietu.

Oryginalny opis (angielski, źródło NVD)

Highcharts JS is a JavaScript charting library based on SVG. From 10.3.2 until 11.4.9, 12.6.2, and 13.1.1, Highcharts accepts an SVG anchor xlink:href attribute without applying the allowed-scheme check used for href and src. An attacker who controls a chart text option can preserve a javascript URL in serialized chart output. When exported or server-rendered SVG is parsed again and a user activates the link, script runs in the origin of that document. This issue is fixed in 11.4.9, 12.6.2 and 13.1.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS