PT-2026-129092
CVE-2026-118245
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Highcharts Dashboards الإصدارات من 1.0.0 إلى 4.2.1
الوصف
يستخدم Highcharts Dashboards الخاصية
chartConstructor كعملية بحث غير مفحوصة في نطاق Highcharts ويستدعي العضو المحدد باستخدام حاوية المكون و chartOptions. يمكن للمهاجم الذي يتحكم في تكوين لوحة البيانات اختيار دالة مساعدة عامة بدلاً من منشئ مخطط مدعوم. يؤدي ذلك إلى نسخ الخيارات التي يتحكم فيها المهاجم إلى الحاوية كخصائص أو سمات، مما يسمح بتنفيذ العلامات ومعالجات الأحداث في أصل الصفحة المضيفة عند عرض اللوحة. لا يتطلب الأمر أي تفاعل من المستخدم سوى عرض اللوحة.التوصيات
التحديث إلى الإصدار 4.2.2.
كإجراء مؤقت، قم بتنفيذ فحص لضمان أن
chartConstructor يقبل فقط 'chart' أو 'stockChart' أو 'mapChart' أو 'ganttChart' قبل تنفيذ دالة createChart(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾