p PatchFirst

CVE-2026-118251

CVE-2026-118251 · Highcharts: javascript: URL in credits.href runs script on click

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Highcharts JS is a JavaScript charting library based on SVG. Prior to 11.4.9, 12.6.1, and 13.1.0, Highcharts assigns credits.href to the window location when the credits label is clicked without checking the URL against the allowed-scheme list. An attacker who controls chart configuration can provide a javascript URL and run script in the origin of the hosting page when a user clicks the credits label. Highcharts Stock, Maps, and Gantt are included because they ship from the same package. This issue is fixed in 11.4.9, 12.6.1 and 13.1.0.

CVSS 8.4 · Hoch · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • highcharts

    Softwareversionen
    • < 11.4.9: Betroffen
    • >= 12.0.0, < 12.6.1: Betroffen
    • >= 13.0.0, < 13.1.1: Betroffen

    Keine Korrektur veröffentlicht

  • highcharts npm

    Betroffene Versionsbereiche
    • SEMVER: < 11.4.9

    Auf 11.4.9 aktualisieren

  • highcharts npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 12.0.0, < 12.6.1

    Auf 12.6.1 aktualisieren

  • highcharts npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 13.0.0, < 13.1.0

    Auf 13.1.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →