高 7.2

Highcharts Coreに、エクスポートしたグラフでスクリプトが動く脆弱性

CVE-2026-116796 SecPulse初出 2:23

概要

Highcharts Coreには、グラフのテキストに含まれるjavascript:のURLが、書き出したSVGに残ることで、利用者がリンクを開くとスクリプトが実行される脆弱性（CVE-2026-116796）があります。影響を受けるのは10.3.2から11.4.9まで、12.6.2まで、13.1.1までの版で、修正版は11.4.9、12.6.2、13.1.1です。Highchartsを利用しているなら、修正版への更新を検討してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
highcharts	highcharts	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Highcharts JS is a JavaScript charting library based on SVG. From 10.3.2 until 11.4.9, 12.6.2, and 13.1.1, Highcharts accepts an SVG anchor xlink:href attribute without applying the allowed-scheme check used for href and src. An attacker who controls a chart text option can preserve a javascript URL in serialized chart output. When exported or server-rendered SVG is parsed again and a user activates the link, script runs in the origin of that document. This issue is fixed in 11.4.9, 12.6.2 and 13.1.1.

出典: CVE.org (CVE Program・cvelistV5) NVD