高 7.2

Highchartsに prototype 汚染の脆弱性、ページ全体に影響するおそれ

CVE-2026-118250 SecPulse初出 2:59

概要

Highchartsには、系列のkeys設定を経由して Object.prototype に任意のプロパティを書き込まれる脆弱性（CVE-2026-118250）があります。影響を受けるのは6.1.0から11.4.9、12.6.1、3.1.0より前の版で、修正版は11.4.9、12.6.1、3.1.0です。書き込まれた値はページ内のすべてのJavaScriptから見えるため、修正版への更新を急ぐ必要があります。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
highcharts	highcharts	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Highcharts JS is a JavaScript charting library based on SVG. From 6.1.0 until 11.4.9, 12.6.1, and 3.1.0, Highcharts follows dot-separated series.keys paths without filtering each segment. An attacker who controls series.keys and matching point data can use a path through proto to assign arbitrary named properties to Object.prototype. Those properties are visible to all JavaScript in the page, and no user interaction is required beyond rendering the chart. This issue is fixed in 11.4.9, 12.6.1, and 3.1.0.

出典: CVE.org (CVE Program・cvelistV5) NVD