CVE-2026-118243

Nome do Software Vulnerável e Versões Afetadas Highcharts Dashboards versões 1.0.0 até 4.2.1

Descrição O Highcharts Dashboards armazena mapas de estado e ouvintes do DataCursor em objetos simples indexados pelo ID da DataTable. Se um ID de tabela proto for fornecido através da configuração do conector dataPool, ele resolve para Object.prototype. Quando uma sincronização registra seus ouvintes, uma propriedade enumerável é criada no Object.prototype com um nome influenciado pela opção group. Esta propriedade fica visível em todos os objetos da página. A emissão de um estado duradouro para esse ID de tabela pode causar erros que interrompem o funcionamento de recursos como a sincronização de extremos. A exploração ocorre quando uma configuração de painel não confiável é carregada e uma sincronização de componente, como highlight ou extremes, está habilitada, não exigindo interação do usuário além do carregamento do painel.

Recomendações Atualize o Highcharts Dashboards para a versão 4.2.2. Como solução temporária, implemente um script para corrigir os protótipos DataCursor e DataTable para evitar a poluição de proto, garantindo que os mapas de ouvintes e de estado sejam criados sem protótipos e validando a propriedade id da DataTable para impedir o uso de proto ou constructor.