Highcharts Grid: Cross-Site-Scripting über benutzerdefinierte Icon-Definitionen
Zusammenfassung
Highcharts Grid (npm-Pakete grid-lite und grid-pro) ab 2.3.0 vor 3.2.0 übernimmt beliebige Schlüssel benutzerdefinierter Icon-Definitionen als Attribute von SVG-Path-Elementen, einschliesslich Event-Handler-Attributen. Ein Angreifer, der die Grid-Konfiguration beeinflussen kann, kann Standard-Sortier- oder Paginierungs-Icons durch ein bösartiges Icon ersetzen, sodass Skript im Ursprung der hostenden Seite ausgeführt wird, sobald ein Benutzer das Icon überfährt oder aktiviert. Voraussetzung ist, dass unvertrauenswürdige Daten in die Grid-Konfiguration gelangen und ein Benutzer mit dem Icon interagiert.
Betroffen
- @highcharts/grid-lite: >= 2.3.0, < 3.2.0
- @highcharts/grid-pro: >= 2.3.0, < 3.2.0
- Umfang des Core-Pakets highcharts: unbestätigt, das Herstellerbulletin deckt nur Grid ab
Behoben in
- Aktualisierung auf @highcharts/grid-lite und @highcharts/grid-pro 3.2.0 oder neuer
Umgehung
- Einschränken, wer oder was die Grid-Optionen rendering.icons schreiben darf.
- Falls die Konfiguration aus nicht vollständig kontrollierten Quellen stammt, das Bereinigungsskript aus dem Herstellerbulletin GHSA-6g3c-p4fg-xv47 anwenden und vor dem Einsatz testen.
Ausnutzung
- Gemäss verfügbaren Quellen keine bestätigte Ausnutzung; nicht im CISA-KEV-Katalog.
- Ein nicht verifizierter Aggregator-Hinweis zeigt eine Proof-of-Concept-Anzahl; dies ist ein unbestätigtes Signal, dass öffentlicher PoC-Code existieren könnte.
Unsere Empfehlung
- Projekte mit @highcharts/grid-lite oder @highcharts/grid-pro erfassen (package.json, Lockfiles, CDN-URLs).
- Auf Version 3.2.0 oder neuer aktualisieren.
- Falls Benutzer, Kunden oder externe Daten die Grid-Konfiguration beeinflussen können, die Übergangsmassnahmen jetzt anwenden und prüfen, wer diese Einstellungen ändern darf.
- NVD-Eintrag und GHSA auf Aktualisierungen prüfen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6g3c-p4fg-xv47 github.com
- Fix commit 8fc9706 github.com
- OSV GHSA-6g3c-p4fg-xv47 osv.dev
- GitLab Advisory CVE-2026-118242 (grid-pro) advisories.gitlab.com
- Highcharts Grid changelog changelog.highcharts.com
- npm package @highcharts/grid-lite www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.