高 8.4

Highchartsに脆弱性、ブレッドクラムの設定経由で任意のスクリプトを実行されるおそれ

CVE-2026-118246 SecPulse初出 2:47

概要

Highcharts Coreには、チャートの設定を操作できる攻撃者がブレッドクラムの設定にイベントハンドラーを仕込めるクロスサイトスクリプティングの脆弱性があります。影響を受けるのは10.0.0から11.4.9未満、12.6.1未満、13.1.0未満の版です。利用中の版を11.4.9、12.6.1、13.1.0以降の修正版に更新してください。スタイルモードのチャートは影響を受けません。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
highcharts	highcharts	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Highcharts JS is a JavaScript charting library based on SVG. From 10.0.0 until 11.4.9, 12.6.1, and 13.1.0, Highcharts applies breadcrumbs.style as SVG attributes rather than CSS and does not filter the attribute names. An attacker who controls chart configuration can provide event-handler keys through drilldown.breadcrumbs, navigation.breadcrumbs, or hierarchical series breadcrumb options. The keys become active handlers on the breadcrumb button and execute in the hosting page origin after the user navigates to a level and hovers over or activates the button. Styled-mode charts do not apply this option and are not affected. This issue is fixed in 11.4.9, 12.6.1 and 13.1.0.

出典: CVE.org (CVE Program・cvelistV5) NVD