CVE-2026-118255
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid stosuje credits.href do linku credits bez walidacji schematu URL. Atakujący kontrolujący konfigurację Grid może podać URL javascript, a aktywacja linku credits uruchamia skrypt w origin strony hostingowej z dostępem do danych i stanu sesji aplikacji. Problem naprawiono w Grid Pro 3.2.0.
Ocena ryzyka
Możliwe jest wykonanie skryptu w kontekście strony hostingowej po interakcji użytkownika z linkiem credits, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy aplikacji renderujących konfigurację Grid pochodzącą z niezaufanego źródła.
Rekomendacja
Zaktualizuj Highcharts Grid Pro do wersji 3.2.0 (lub nowszej). Waliduj schemat URL w credits.href i nie pozwalaj na konfigurację Grid z niezaufanych źródeł.
Inne podatności w Highcharts Grid
Zobacz wszystkie- CVE-2026-118254Wysokie
Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid zapisuje ciągi językowe paginacji do DOM jako znaczniki zamiast tekstu. Atakujący kontrolujący konfigurację języka Grid może podać elementy z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolek paginacji. Wykorzystanie wymaga włączenia paginacji, ale nie wymaga dodatkowej interakcji użytkownika. Problem naprawiono w wersji 3.2.0.
- CVE-2026-118242Wysokie
Biblioteka Highcharts Grid tworzy elementy SVG na podstawie definicji ikon i kopiuje wszystkie klucze potomne przez setAttribute. Atakujący kontrolujący konfigurację może podać nazwy atrybutów obsługi zdarzeń w definicji ikony i zastąpić domyślne ikony sortowania lub paginacji, co prowadzi do wykonania skryptu w kontekście strony przy najechaniu lub aktywacji ikony. Problem naprawiono w wersji 3.2.0.
Oryginalny opis (angielski, źródło NVD)
Highcharts JS is a JavaScript charting library based on SVG. From 2.0.0 until 3.2.0, Highcharts Grid applies credits.href to the credits link without validating the URL scheme. An attacker who controls Grid configuration can provide a javascript URL, and activating the credits link runs script in the origin of the hosting page with access to that application's data and session state.This issue is fixed in Grid Pro 3.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS