Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2021-29489

XSS (Cross-Site Scripting) dans highcharts (CVE-2021-29489)

Résumé

XSS dans highcharts (CVE-2021-29489). Les données peuvent être altérées par des attaquants. Exploitable via useHTML. Atténuation : mise à jour vers 9.0.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

In Highcharts versions 8 and earlier, the chart options structure was not systematically filtered for XSS vectors. The potential impact was that content from untrusted sources could execute code in the end user's browser. Especially when using the useHTML flag, HTML string options would be inserted unfiltered directly into the DOM. When useHTML was false, malicious code could be inserted by using various character replacement tricks or malformed HTML.

If your chart configuration comes from a trusted source like a static setup or pre-filtered HTML (or no markup at all in the configuration), you are not impacted.

Patches

In version 9, the whole rendering layer was refactored to use an DOMParser, an AST and tag and HTML allow-listing to make sure only safe content entered the DOM. In addition, prototype pollution was stopped.

Workarounds

Implementers who are not able to upgrade may apply DOMPurify recursively to the options structure to filter out malicious markup.

References

For more information

If you have any questions or comments about this advisory:

  • Visit our [support page…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2021-29489 a été découverte dans highcharts.
Des attaquants peuvent cibler un point d'entrée spécifique comme useHTML à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants.
Action : mettez à jour highcharts vers 9.0.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « highcharts CVE-2021-29489 » sur le site de l'éditeur.

CVE-2021-29489 (highcharts) — CWE-79
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : useHTML
Correctif : 9.0.0 — appliquer immédiatement
Contournement : Implementers who are not able to upgrade may apply DOMPurify recursively to the options structure to filter out malicious markup.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une XSS (CWE-79) affecte highcharts. Les attaquants atteignent le code vulnérable via useHTML.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de highcharts. Surface d'attaque : useHTML.

🔥 Gravité

Gravité : ?. Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 9.0.0.

🛡️ Contournement

Contournement : Implementers who are not able to upgrade may apply DOMPurify recursively to the options structure to filter out malicious markup.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'highcharts' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で highcharts を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    Implementers who are not able to upgrade may apply [DOMPurify](https://github.com/cure53/DOMPurify) recursively [to the options structure](https://jsfiddle.net/highcharts/zd3wcm5L/) to filter out malicious markup.

    パッチが適用されるまでの応急処置として、Implementers who are not able to upgrade may apply DOMPurify recursively to the options structure to filter out malicious markup. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade highcharts to 9.0.0

    ステージング環境で 9.0.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm highcharts
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"9.0.0"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus