CVE-2026-118250

Highcharts JS w wersjach od 13.0.0 do 13.1.0 buduje kolumny danych serii, używając kluczy opcji punktów bezpośrednio jako identyfikatorów kolumn. Własne enumerowalne klucze __proto__ i constructor z parsowanych obiektów punktów mogą kierować zapisy o indeksach całkowitych do Object.prototype lub konstruktora Object, wpływając na odczyty i enumerację for-in na stronie bez interakcji użytkownika poza renderowaniem wykresu.

Highcharts JS w wersjach od 10.0.0 do 11.4.9, 12.6.1 i 13.1.0 stosuje breadcrumbs.style jako atrybuty SVG zamiast CSS i nie filtruje nazw atrybutów. Atakujący kontrolujący konfigurację wykresu może dostarczyć klucze obsługi zdarzeń poprzez opcje breadcrumbs, które stają się aktywnymi handlerami na przycisku breadcrumb i wykonują się w origin strony po nawigacji i najechaniu lub aktywacji przycisku.

Highcharts JS w wersjach od 12.0.0 do 12.6.1 i 13.1.0 w przypadku, gdy DOMParser nie może zwrócić dokumentu, przypisuje surowy markup do innerHTML przed zastosowaniem listy dozwolonych. W Chromium callback Trusted Types może rzucić wyjątek podczas działania handlera beforeprint, więc strona, która przerysowuje wykres podczas beforeprint, może wstawić niezaufane opcje tekstowe HTML do dokumentu hosta, a handlery zdarzeń w tym markupie wykonują się w origin strony podczas rozpoczęcia drukowania.