Highcharts JS: Cross-Site Scripting über javascript:-URL im Credits-Label
Zusammenfassung
Highcharts JS, eine JavaScript-Bibliothek für Diagramme, prüft die URL credits.href nicht, bevor sie beim Klick auf das Credits-Label dem window.location zugewiesen wird. Ein Angreifer, der die Diagrammkonfiguration beeinflussen kann, kann eine javascript:-URL einschleusen und beim Klick eines Benutzers Skripte im Ursprung der hostenden Seite ausführen. Highcharts Stock, Maps und Gantt sind betroffen, da sie aus demselben Paket stammen.
Betroffen
- Highcharts JS vor 11.4.9
- Highcharts JS 12.0.0 bis vor 12.6.1
- Highcharts JS 13.0.0 bis vor 13.1.0 (der CNA-Eintrag nennt den Bereich bis 13.1.1; beim Hersteller prüfen)
- Highcharts Stock, Maps und Gantt, die aus demselben Paket stammen
Behoben in
- 11.4.9
- 12.6.1
- 13.1.0
Umgehung
- Es ist keine offizielle Workaround-Massnahme veröffentlicht.
- Bis zum Patch keine nicht vertrauenswürdigen Eingaben für die Credits-Optionen von Diagrammen zulassen.
- Das Credits-Label deaktivieren, wo es nicht benötigt wird.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Kein öffentlicher Proof-of-Concept bestätigt.
- Laut einem Aggregator nicht im CISA KEV gelistet; nicht auf der KEV-Seite selbst geprüft.
- EPSS: 0.43 % (Perzentil 38).
Unsere Empfehlung
- Alle Highcharts-Verwendungen inventarisieren, einschliesslich transitiver npm-Abhängigkeiten und eingebetteter Kopien in Drittprodukten.
- Auf 11.4.9, 12.6.1 oder 13.1.0 oder neuer aktualisieren.
- Vaadin Charts fixiert eine eigene Highcharts-Version; das Vaadin-Update einspielen.
- Prüfen, ob Diagrammkonfigurationen aus Benutzereingaben entstehen, und diese einschränken.
- NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5793-x2q3-c3q7 github.com
- Highcharts fix commit 9534773 github.com
- Highcharts pull request 25315 github.com
- Highcharts release v13.1.0 github.com
- GitLab Advisory Database entry for Highcharts advisories.gitlab.com
- Vaadin security advisory CVE-2026-107588 vaadin.com
- OSV GHSA-5793-x2q3-c3q7 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:53.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.