CVE-2026-118245

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 1.0.0 do 4.2.3 tryb edycji Highcharts Dashboards parsuje etykiety językowe pełnego ekranu jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący opcje językowe Dashboards może dostarczyć znaczniki z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolki pełnego ekranu. Etykieta jest osiągalna tylko gdy tryb edycji jest włączony, a viewFullscreen znajduje się w elementach menu kontekstowego. Problem naprawiono w wersji 4.2.3.

W bibliotece Highcharts Dashboards pasek boczny trybu edycji interpretuje ciągi językowe komponentów jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący konfigurację języka może dostarczyć znaczniki z obsługą zdarzeń, które wykonają się w kontekście strony hosta po otwarciu paska bocznego. Problem naprawiono w wersji 4.2.3.

Tryb edycji Highcharts Dashboards przetwarza segmenty propertyPath z editableOptions bez odrzucania kluczy związanych z prototypem. Atakujący kontrolujący editableOptions może podać ścieżkę przez __proto__ lub constructor, a edycja użytkownika zapisuje skonfigurowaną wartość na Object.prototype, co wpływa na JavaScript w całej stronie. Problem naprawiono w wersji 4.2.2.

Biblioteka Highcharts Dashboards przechowuje mapy stanu i listenerów DataCursor w zwykłych obiektach kluczowanych identyfikatorem DataTable. Jeśli przez konfigurację connectora dataPool dostarczony zostanie identyfikator tabeli __proto__, dochodzi do zanieczyszczenia Object.prototype, a właściwość staje się widoczna na każdym obiekcie i może powodować błędy synchronizacji. Podatność występuje w wersjach od 1.0.0 do 4.2.2 i została naprawiona w 4.2.2.