CVE-2026-116797
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Highcharts Grid Pro renderery wejściowe kopiują mapy atrybutów cells.renderer.attributes oraz cells.editMode.renderer.attributes do elementów input lub select za pomocą surowych wywołań setAttribute. Atakujący kontrolujący konfigurację kolumn może dodać atrybuty obsługi zdarzeń do każdego renderowanego wiersza lub kontrolki edycji, co powoduje wykonanie skryptu w kontekście strony przy najechaniu, fokusie lub rozpoczęciu edycji. Problem naprawiono w Grid Pro 3.2.0.
Ocena ryzyka
Możliwe wykonanie dowolnego skryptu w przeglądarce użytkownika (XSS) w kontekście strony hostującej. Ryzyko dotyczy aplikacji, w których konfiguracja kolumn pochodzi z niezaufanego źródła.
Rekomendacja
Zaktualizuj Highcharts Grid Pro do wersji 3.2.0 lub nowszej. Nie pozwalaj na wczytywanie konfiguracji kolumn z niezaufanych źródeł.
Powiązane podatności
- CVE-2026-121260Krytyczne
W oprogramowaniu Ziroom ZHOME A0101 1.0.1.0 Build 202004151405 wykryto lukę w funkcji loadstring w pliku usr/lib/lua/luci/controller/api/zrUsb.lua (komponent Lua Handler). Manipulacja danymi prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-118527ŚrednieAktywnie exploitowane
W Ivanti Connect Secure przed wersjami 25.1.1.3 i 22.8R2.6 występuje użycie przewidywalnych nazw plików. Uwierzytelniony zdalny atakujący może przesłać pliki o kontrolowanej przez siebie treści do znanej lokalizacji na dysku.
- CVE-2026-89292Krytyczne
W Eclipse Mnestix Browser w wersjach od 1.6.0 do 2.3.0 (wyłącznie) nieuwierzytelniony atakujący mógł wykraść klucz MNESTIX_BACKEND_API_KEY dla wszystkich skonfigurowanych infrastruktur.
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-13594Krytyczne
Wersje 13062 i starsze produktów ManageEngine Log360 oraz EventLog Analyzer firmy Zoho Corporation są podatne na problem umożliwiający przeciwnikowi uzyskanie nieautoryzowanego dostępu do produktu.
- CVE-2026-120534Krytyczne
Wtyczka Advanced Custom Fields: Extended PRO dla WordPressa jest podatna na ograniczoną iniekcję kodu w wersjach do 0.9.2.6 włącznie, poprzez funkcję render_field. Brak wystarczającej walidacji parametrów konfiguracji formularza pozwala nieuwierzytelnionym atakującym na wywoływanie dowolnych funkcji WordPressa z kontrolowanymi argumentami.
- CVE-2026-120518Krytyczne
Wtyczka BuddyPress XProfile Image Field dla WordPressa jest podatna na dowolne usuwanie plików w wersjach do 3.1.0 włącznie. Funkcja bpxp_image_field_update_on_user_activation() wywołuje unlink() na ścieżce zbudowanej z metadanych rejestracji dostarczonych przez odwiedzającego, bez rozwiązywania realpath(), sprawdzenia zawierania w katalogu profilowym i listy dozwolonych rozszerzeń.
- CVE-2026-86596Krytyczne
Wtyczka s2Member dla WordPressa w wersjach do 260927 włącznie jest podatna na zdalne wykonanie kodu poprzez parametr 'item_name'. Niedostateczna sanityzacja w funkcji strip_php_tags_deep() usuwa jedynie literalne sekwencje '<?', a późniejsze czyszczenie placeholderów po interpolacji odtwarza poprawny otwieracz '<?php' już po osadzeniu wartości kontrolowanej przez atakującego w szablonie e-mail.
- CVE-2026-97718Krytyczne
W wersji 14.60 serwera Secure Access występuje podatność typu cross-site request forgery (CSRF). Z powodu obejścia mechanizmu kontroli bezpieczeństwa atakujący może zmusić administratora do utworzenia konta pod kontrolą atakującego.
- CVE-2026-116769Krytyczne
W serwerach Secure Access w wersjach od 13.0 do wersji przed 14.61 występuje podatność polegająca na obejściu uwierzytelniania. Atakujący mogą modyfikować ustawienia bezpieczeństwa klienta za pośrednictwem serwera.
Oryginalny opis (angielski, źródło NVD)
Highcharts JS is a JavaScript charting library based on SVG. From 2.0.0 until 3.2.0, Highcharts Grid Pro input renderers copy the cells.renderer.attributes and cells.editMode.renderer.attributes maps to input or select elements with raw setAttribute calls. An attacker who controls column configuration can add event-handler attributes to every rendered row or to the control created when a cell enters edit mode. Script then runs in the hosting page origin when a user hovers over or focuses an input or begins editing. This issue is fixed in Grid Pro 3.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS