CVE-2026-118245

Nome do Software Vulnerável e Versões Afetadas Highcharts Dashboards versões 1.0.0 até 4.2.1

Descrição O Highcharts Dashboards utiliza a propriedade chartConstructor como uma busca não verificada no namespace do Highcharts e invoca o membro selecionado usando o contêiner do componente e chartOptions. Um invasor que controle a configuração do painel pode especificar uma função utilitária pública em vez de um construtor de gráfico suportado. Isso permite que opções controladas pelo invasor sejam copiadas para o contêiner como propriedades ou atributos, permitindo que marcações e manipuladores de eventos sejam executados na origem da página de hospedagem quando o painel é renderizado. Nenhuma interação do usuário é necessária além da renderização do painel.

Recomendações Atualize para a versão 4.2.2. Como medida paliativa temporária, implemente uma verificação para garantir que chartConstructor aceite apenas 'chart', 'stockChart', 'mapChart' ou 'ganttChart' antes que a função createChart() seja executada.