Vaadin Charts: Cross-Site Scripting und Prototype Pollution in gebündeltem Highcharts

Zusammenfassung

Vaadin Charts bündelt eine fest vorgegebene Highcharts-Version, die mehrere über die Diagrammkonfiguration erreichbare Schwachstellen enthält. Gelangen vom Angreifer kontrollierte Daten in Diagrammoptionen, Textoptionen oder updateConfiguration(), kann der Angreifer Skripte im Browser eines Benutzers ausführen, der das Diagramm anzeigt oder damit interagiert, oder Object.prototype beschreiben. Die Schwachstellen lassen sich nicht durch ein Highcharts-Upgrade in der Anwendung selbst beheben.

Betroffen

• Vaadin 22.0.0 bis 23.6.15
• Vaadin 24.0.0 bis 24.4.23
• Vaadin 24.5.0 bis 24.7.15
• Vaadin 24.8.0 bis 24.9.22
• Vaadin 24.10.0 bis 24.10.10
• Vaadin 25.0.0 bis 25.2.9
• Vaadin 25.3.0
• Maven: com.vaadin:vaadin, com.vaadin:vaadin-charts-flow, com.vaadin:vaadin-charts-flow-svg-generator
• npm: @vaadin/charts (genaue Bereiche siehe Vaadin-Advisory)

Behoben in

• Vaadin 23.6.16
• Vaadin 24.4.24
• Vaadin 24.7.16
• Vaadin 24.9.23
• Vaadin 24.10.11
• Vaadin 25.2.10
• Vaadin 25.3.1 oder neuer
• npm @vaadin/charts: 23.6.7, 24.4.19, 24.7.13, 24.9.19, 24.10.7, 25.2.14 oder neuer (je nach Paketzweig)

Vaadin-Versionen 10-13 und 15-22 werden nicht mehr unterstützt.

Umgehung

• Keine Daten an die Diagrammkonfiguration übergeben, die die Anwendung nicht kontrolliert; dies betrifft additionalOptions, updateConfiguration(), setKeys(), addKey(), Credits.setUnsafeHref() und Textoptionen, die Markup akzeptieren.
• Diagramme, deren Konfiguration die Anwendung selbst erstellt, sind nicht betroffen.
• Highsoft stellt in seinen Advisories Workaround-Skripte bereit; die gepatchten Vaadin-Versionen wenden diese automatisch an.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Hinweise auf Ausnutzung gefunden.

Unsere Empfehlung

• Vaadin-Anwendungen auf die oben aufgeführten, korrigierten Versionen aktualisieren, da die Highcharts-Version selbst gleich bleibt.
• Anwendungen mit Vaadin Charts inventarisieren und prüfen, welche benutzerkontrollierte Daten in Diagrammkonfigurationen übernehmen.
• Internetseitig erreichbare Anwendungen priorisieren und unsichere Eingaben in Diagrammoptionen bis zur Korrektur entfernen oder bereinigen.
• Auffällige Skriptaktivitäten in betroffenen Anwendungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vaadin security advisory CVE-2026-107588 vaadin.com
• Highcharts advisory GHSA-35rr-xwfh-x789 (breadcrumbs.style) github.com
• Highcharts advisory GHSA-5793-x2q3-c3q7 (credits.href javascript: URL) github.com
• Highcharts advisory GHSA-65hg-cf3f-5m39 github.com
• Highcharts advisory GHSA-gfvx-2c2g-38wq github.com
• Highcharts advisory GHSA-mw4f-gj5x-6xr4 github.com
• Highcharts advisory GHSA-rmqc-xvr3-v46c github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:11.