CVE-2026-116797

Nome do Software Vulnerável e Versões Afetadas Highcharts Grid Pro versões 2.0.0 through 3.1.9

Description Os renderizadores de células do tipo input copiam entradas da opção attributes para elementos de entrada ou seleção usando chamadas setAttribute brutas, sem validar os nomes dos atributos. Um invasor que controle a configuração do Grid pode injetar atributos de manipuladores de eventos via cells.renderer.attributes ou cells.editMode.renderer.attributes. Isso permite a execução de scripts arbitrários na origem da página de hospedagem quando um usuário passa o mouse, foca ou começa a editar uma célula. Este problema também afeta o Pro DataGrid incluído no pacote Dashboards.

Recommendations Atualize o Highcharts Grid Pro para a versão 3.2.0. Como mitigação temporária, implemente uma função de limpeza para garantir que apenas atributos permitidos (como autofocus, checked, max, maxlength, min, minlength, multiple, pattern, placeholder, size e step) sejam processados nas configurações cells.renderer.attributes e cells.editMode.renderer.attributes.