Highcharts Dashboards: Cross-Site-Scripting über ungeprüfte chartConstructor-Suche

Zusammenfassung

Highcharts Dashboards, eine JavaScript-Bibliothek für interaktive Dashboards, verwendet einen konfigurierbaren chartConstructor-Wert, ohne ihn gegen die unterstützten Diagrammtypen zu prüfen. Ein Angreifer, der die Dashboard-Konfiguration beeinflussen kann, kann eine öffentliche Hilfsfunktion auswählen, die vom Angreifer kontrollierte Markups und Ereignishandler in die aufrufende Webseite kopiert. Das Skript wird dann beim Rendern des Dashboards im Ursprung der hostenden Webanwendung ausgeführt, ohne weitere Benutzerinteraktion.

Betroffen

• @highcharts/dashboards (npm): Versionen ab 1.0.0 bis vor 4.2.2 (Herstellerhinweis GHSA-grj7-r4jv-pw9j)
• Der CVE-Eintrag nennt zusätzlich das Kernpaket highcharts unterhalb 13.1.0 sowie Dashboards unterhalb 4.2.3. Der Herstellerhinweis bestätigt diese Bereiche nicht; bei Highsoft verifizieren.

Behoben in

• @highcharts/dashboards 4.2.2 (Herstellerfix, Commit 98d3652)
• Sekundäre Quellen und der CVE-Eintrag nennen 4.2.3; die behobene Version bei Highsoft bestätigen.

Umgehung

• Falls ein sofortiges Upgrade nicht möglich ist, die temporäre Massnahme aus dem Herstellerhinweis anwenden: Jeder chartConstructor-Wert ausserhalb der unterstützten Liste wird vor dem Rendern auf den Standard-Konstruktor 'chart' zurückgesetzt.
• Dashboard-Konfigurationen, die von Benutzern oder Drittparteien stammen, validieren oder einschränken.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• Gemäss OffSeq nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Nicht im CISA-KEV-Katalog aufgeführt; CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein.
• EPSS: 0.34 % (Perzentil 27).

Unsere Empfehlung

• Alle Anwendungen identifizieren, die @highcharts/dashboards einsetzen, einschliesslich per CDN geladener Versionen.
• So rasch wie möglich auf Version 4.2.2 oder neuer aktualisieren; beim Hersteller klären, ob 4.2.3 erforderlich ist.
• Bis zur Behebung den Kreis der Personen einschränken, die Dashboard-Konfigurationen erstellen oder ändern können, und importierte Board-Definitionen validieren.
• Das Risiko bewerten: Am höchsten ist es bei Mandantenportalen, kundenseitigen Reportings und gespeicherten Benutzerlayouts. Statische, von Entwicklern erstellte Dashboards ohne benutzerkontrollierte Konfiguration sind weniger gefährdet.
• NVD auf die finale Analyse prüfen und klären, ob das Kernpaket highcharts betroffen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-grj7-r4jv-pw9j github.com
• Fix commit 98d3652 github.com
• Release dashboards-v4.2.2 github.com
• OSV GHSA-grj7-r4jv-pw9j osv.dev
• GitLab Advisory Database: @highcharts/dashboards advisories.gitlab.com
• Highcharts security overview github.com
• npm: @highcharts/dashboards www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:55.