Highcharts JS: Cross-Site Scripting über Breadcrumb-Stilattribute
Zusammenfassung
Highcharts JS, eine JavaScript-Bibliothek für Diagramme, setzt die Option breadcrumbs.style als SVG-Attribute und filtert die Attributnamen nicht. Ein Angreifer, der die Diagrammkonfiguration beeinflussen kann, kann Event-Handler-Attribute einschleusen, die JavaScript im Ursprung der einbettenden Seite ausführen, sobald ein Benutzer in eine Drilldown-Ebene navigiert und eine Breadcrumb-Schaltfläche aktiviert. Diagramme im Styled Mode sind nicht betroffen.
Betroffen
- Highcharts JS 10.0.0 bis unter 11.4.9
- Highcharts JS 12.0.0 bis unter 12.6.1
- Highcharts JS 13.0.0 bis unter 13.1.0
- Hinweis: Der CNA-Eintrag gibt für den 13.x-Bereich 13.1.1 als Ende an; auf der GHSA-Seite prüfen.
Behoben in
- 11.4.9
- 12.6.1
- 13.1.0
Umgehung
- Der Hersteller dokumentiert keine Workaround. Das Aktualisieren ist die Behebung.
- Diagramme im Styled Mode sind nicht betroffen, ein Moduswechsel ist jedoch eine Codeänderung und muss zuerst getestet werden.
Ausnutzung
- Im Rahmen der geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
- Es gibt keine Hinweise auf Ausnutzung in freier Wildbahn; zum Prüfzeitpunkt ist die Schwachstelle nicht im CISA-KEV-Katalog gelistet.
- Eine Ausnutzung setzt voraus, dass nicht vertrauenswürdige Daten in die Diagrammkonfiguration gelangen und ein Benutzer in ein Drilldown navigiert und mit der Breadcrumb-Schaltfläche interagiert.
Unsere Empfehlung
- Alle Anwendungen inventarisieren, die Highcharts JS verwenden (npm-Lockfiles, CDN-URLs, Wrapper-Produkte).
- Auf 11.4.9, 12.6.1 oder 13.1.0 innerhalb derselben Hauptversion aktualisieren.
- Festlegen, wer die Diagrammkonfiguration liefern darf, und benutzerseitige Diagrammoptionen serverseitig validieren.
- Eine strikte Content Security Policy anwenden, um die Auswirkungen von Skriptausführung zu begrenzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-35rr-xwfh-x789 github.com
- Fix commit b0fafda (Highcharts) github.com
- Highcharts release v13.1.0 github.com
- OSV entry CVE-2026-118246 osv.dev
- GitLab Advisory Database entry (npm/highcharts) advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.