高 7.2

Highchartsに印刷時のクロスサイトスクリプティング脆弱性、12.6.1と13.1.0で修正

CVE-2026-118244 SecPulse初出 2:36

概要

Highchartsの一部の版では、印刷の開始時に信頼されていないHTMLが挿入され、そこに含まれるイベントハンドラーがページの持ち主の権限で実行されるおそれがあります。影響を受けるのは12.0.0から12.6.1未満と13.1.0の版で、同じパッケージのStock・Maps・Ganttも対象です。修正版は12.6.1と13.1.0で、利用中の版をこれらに更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
highcharts	highcharts	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Highcharts JS is a JavaScript charting library based on SVG. From 12.0.0 until 12.6.1 and 13.1.0, Highcharts falls back to assigning raw markup to innerHTML when DOMParser cannot return a document, before its allow-list is applied. In Chromium, the Trusted Types callback can throw while a beforeprint handler runs, so a page that redraws a chart during beforeprint can insert untrusted HTML text options into the hosting document. Event handlers in that markup then run in the page origin when printing begins. The issue affects HTML-rendered titles, labels, data labels, responsive text, and the Stock, Maps, and Gantt products shipped in the same package. This issue is fixed in 12.6.1 and 13.1.0.

出典: CVE.org (CVE Program・cvelistV5) NVD