Highcharts Grid Pro: Cross-Site Scripting über Cell-Renderer-Attribute
Zusammenfassung
Highcharts Grid Pro übernimmt die Renderer-Attribute aus der Spaltenkonfiguration ohne Filterung von Event-Handler-Attributen auf Input- und Select-Elemente. Ein Angreifer, der die Spaltenkonfiguration beeinflussen kann, kann JavaScript-Event-Handler einschleusen, die im Ursprung der einbettenden Seite ausgeführt werden, wenn ein Benutzer eine Zelle überfährt, fokussiert oder bearbeitet. Der Angriff setzt voraus, dass ein angemeldeter Benutzer mit dem Grid interagiert; die Auswirkung ist der Missbrauch von Sitzung und Aktionen im Kontext der Seite.
Betroffen
- @highcharts/grid-pro: 2.0.0 bis vor 3.2.0
- @highcharts/dashboards (Pro DataGrid): 3.6.0 bis vor 4.0.0 gemäss CVE-Eintrag und GitHub-Advisory; ein VulDB-Eintrag nennt Versionen bis 3.1.9, was nicht verifiziert ist
- highcharts: 2.0.0 bis vor 3.2.0 (CVE-Eintrag)
Behoben in
- @highcharts/grid-pro: 3.2.0
- @highcharts/dashboards: 4.0.0
Umgehung
- Spaltenkonfiguration nicht aus unvertrauenswürdiger Benutzereingabe oder ungeprüften Daten erstellen.
- Falls die Konfiguration aus nicht vollständig kontrollierten Quellen stammt, eine Übergangslösung anwenden, die Renderer-Attribute auf eine Allowlist beschränkt. Nur das Snippet aus dem Herstellerhinweis verwenden und vorher testen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Total technische Auswirkung.
- Keine bekannte Ausnutzung in freier Wildbahn gemeldet.
- Kein öffentlicher Proof of Concept bestätigt.
Unsere Empfehlung
- Inventar der @highcharts/grid-pro- und @highcharts/dashboards-Pakete in Webanwendungen erstellen, einschliesslich vom Anbieter oder als SaaS betriebener Produkte.
- Auf Grid Pro 3.2.0 oder Dashboards 4.0.0 aktualisieren. Die Zuordnung der Dashboards-Version vorher mit dem GitHub-Advisory bestätigen.
- Bis zum Update verhindern, dass nicht vertrauenswürdige Benutzer die Spaltenkonfiguration beeinflussen können.
- Internetseitige und mehrbenutzerfähige Anwendungen wie individuelle Dashboards und Report-Builder priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5ghw-9mgr-jvx2 github.com
- Fix commit 52abd4f8 github.com
- OSV GHSA-5ghw-9mgr-jvx2 osv.dev
- GitLab Advisory Database CVE-2026-116797 advisories.gitlab.com
- CVE record mirror CVE-2026-116797 cve.threatint.com
- Highcharts Grid documentation: general www.highcharts.com
- Highcharts Grid documentation: cell renderers highcharts.com
- VulDB entry 428142 (version discrepancy) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.