Highcharts

Vulnerabilities related to Highcharts 16

• High 8.4 Highcharts Gridに任意のスクリプトを実行される脆弱性 Highcharts Gridでは、creditsのリンク先にjavascript:形式のURLを指定できる問題が見つかりました。リンクをクリックすると、そのページの権限でスクリプトが動き、アプリケーションのデータやセッション情報が読み取られるおそれがあります。影響を受けるのは2.0.0から3.2.0までの版で、修正版はGrid Pro 3.2.0です。Highchartsの利用者は、Grid Proを3.2.0以降に更新してください。 CVE-2026-118255 03:17
• High 8.6 Highcharts Gridにページング言語設定を介して任意のスクリプトを実行される脆弱性 Highcharts Gridでページング用の言語文字列がHTMLとして解釈され、細工された設定によりホストページ上でスクリプトが実行されるおそれがあります。影響を受けるのは2.0.0から3.2.0未満の版で、修正版は3.2.0です。ページングを有効にしているなら、3.2.0以上への更新を優先してください。 CVE-2026-118254 03:13
• High 8.4 Highcharts Dashboardsのフルスクリーン表示に脆弱性、スクリプトを実行されるおそれ Highcharts Dashboardsの編集モードで、フルスクリーンの言語ラベルがテキストではなくHTMLとして解釈されるクロスサイトスクリプティングの脆弱性です。1.0.0から4.2.3までが対象で、攻撃者が言語オプションを操作できると、ラベルを表示したときにイベントハンドラーが実行されるおそれがあります。修正版は4.2.3ですので、Highchartsと@highcharts/dashboardsを4.2.3以降に更新してください。 CVE-2026-118253 03:11
• High 8.4 Highcharts Dashboardsに任意のスクリプトを実行される脆弱性 Highcharts Dashboardsの編集モードのサイドバーで、コンポーネントの言語設定が文字ではなくHTMLとして解釈される脆弱性が見つかりました。言語設定を操作できる攻撃者が仕込んだイベントハンドラーが、利用者がサイドバーを開いた時点で実行される可能性があります。影響を受けるのは1.0.0から4.2.2までで、修正版の4.2.3で解消されます。CVSSv4の基本値は8.4です。 CVE-2026-118252 03:08
• High 8.4 Highchartsに クリック時にスクリプトが実行される脆弱性 Highchartsの11.4.9より前、12.6.1より前、13.1.0より前では、クレジット表示をクリックした際にjavascript形式のURLが実行される脆弱性があります。悪用されると、グラフを表示しているページの権限でスクリプトが動くおそれがあります。Highcharts Stock、Maps、Ganttも同じパッケージのため影響を受けるため、11.4.9、12.6.1、13.1.0以降の修正版に更新してください。 CVE-2026-118251 03:02
• High 7.2 Highchartsに prototype 汚染の脆弱性、ページ全体に影響するおそれ Highchartsには、系列のkeys設定を経由して Object.prototype に任意のプロパティを書き込まれる脆弱性（CVE-2026-118250）があります。影響を受けるのは6.1.0から11.4.9、12.6.1、3.1.0より前の版で、修正版は11.4.9、12.6.1、3.1.0です。書き込まれた値はページ内のすべてのJavaScriptから見えるため、修正版への更新を急ぐ必要があります。 CVE-2026-118250 02:59
• High 7.2 Highchartsに prototype 汚染の脆弱性、ページ全体の動作に影響のおそれ Highcharts JSの13.0.0から13.1.0までに、グラフのデータ列を作る処理で、Object.prototypeなどの組み込みオブジェクトに値を書き込まれる脆弱性が見つかりました。ページ全体の描画や、ほかのアプリケーションの動作が崩れるおそれがあります。修正版の13.1.0で直っているため、Highchartsを13.1.0以降に更新してください。 CVE-2026-118249 02:57
• Medium 6.9 Highcharts Dashboards: editableOptions.propertyPath writes to Object.prototype Highcharts JS is a JavaScript charting library based on SVG. From 1.0.0 until 4.2.2, Highcharts Dashboards edit mode walks editableOptions propertyPath segments without rejecting prototype-related keys. An attacker who controls editableOptions can provide a path through proto or constructor, and... CVE-2026-118248 02:55
• Medium 6.9 Highcharts Dashboards / Grid Pro: `DataTable.setCell` and column writers treat `__proto__` as an existing column. Highcharts Dashboards / Grid Pro: DataTable.setCell and column writers treat proto as an existing column. CVE-2026-118247 02:50
• High 8.4 Highchartsに脆弱性、ブレッドクラムの設定経由で任意のスクリプトを実行されるおそれ Highcharts Coreには、チャートの設定を操作できる攻撃者がブレッドクラムの設定にイベントハンドラーを仕込めるクロスサイトスクリプティングの脆弱性があります。影響を受けるのは10.0.0から11.4.9未満、12.6.1未満、13.1.0未満の版です。利用中の版を11.4.9、12.6.1、13.1.0以降の修正版に更新してください。スタイルモードのチャートは影響を受けません。 CVE-2026-118246 02:47
• High 8.6 Highcharts Dashboardsに脆弱性、設定次第で悪意あるスクリプトが実行されるおそれ Highcharts Dashboardsの1.0.0から4.2.1までには、chartConstructorの検証不足により、ダッシュボードの設定を操作できる攻撃者がHTMLやイベントハンドラーを実行できる脆弱性があります。ボードを表示するだけで成立し、利用者による操作は必要ありません。修正版は4.2.2で、最新の情報を確認して更新してください。 CVE-2026-118245 02:44
• High 7.2 Highchartsに印刷時のクロスサイトスクリプティング脆弱性、12.6.1と13.1.0で修正 Highchartsの一部の版では、印刷の開始時に信頼されていないHTMLが挿入され、そこに含まれるイベントハンドラーがページの持ち主の権限で実行されるおそれがあります。影響を受けるのは12.0.0から12.6.1未満と13.1.0の版で、同じパッケージのStock・Maps・Ganttも対象です。修正版は12.6.1と13.1.0で、利用中の版をこれらに更新してください。 CVE-2026-118244 02:36
• Medium 5.3 Highcharts Dashboards: `__proto__` data table id writes sync listeners to `Object.prototype` Highcharts Dashboards: proto data table id writes sync listeners to Object.prototype CVE-2026-118243 02:33
• High 8.5 Highcharts Gridで悪意のあるスクリプトが実行される脆弱性 Highcharts Gridには、アイコン定義にイベントハンドラー属性を含められることで、利用者の操作時にスクリプトが実行される脆弱性（CVE-2026-118242）があります。影響を受けるのは2.3.0から3.2.0までの版で、CVSS v4.0のスコアは8.5です。修正版は3.2.0なので、利用中のHighchartsやGrid（grid-lite・grid-pro）を3.2.0以降に更新してください。 CVE-2026-118242 02:30
• High 8.5 Highcharts Grid Proに遠隔からスクリプトを実行される脆弱性 Highcharts Grid Proの2.0.0から3.2.0未満で、セルのレンダラー属性が無害化されずに設定される脆弱性が見つかりました。列の設定を操作できる攻撃者により、利用者がセルにマウスを重ねたり編集を始めたりするとスクリプトが実行されるおそれがあります。CVSS v4.0のスコアは8.5(High)です。Grid Pro 3.2.0で修正されているため、3.2.0以降へ更新してください。 CVE-2026-116797 02:28
• High 7.2 Highcharts Coreに、エクスポートしたグラフでスクリプトが動く脆弱性 Highcharts Coreには、グラフのテキストに含まれるjavascript:のURLが、書き出したSVGに残ることで、利用者がリンクを開くとスクリプトが実行される脆弱性（CVE-2026-116796）があります。影響を受けるのは10.3.2から11.4.9まで、12.6.2まで、13.1.1までの版で、修正版は11.4.9、12.6.2、13.1.1です。Highchartsを利用しているなら、修正版への更新を検討してください。 CVE-2026-116796 02:23