Highcharts Dashboards: Cross-Site Scripting in Sidebar-Beschriftungen des Edit-Modus
Zusammenfassung
Highcharts Dashboards ab Version 1.0.0 bis vor 4.2.3 interpretiert Sprachzeichenfolgen von Komponenten in der Sidebar des Edit-Modus als HTML statt als Klartext. Ein Angreifer, der die Sprachkonfiguration von Dashboards schreiben kann, kann Markup mit Event-Handlern einschleusen, das im Ursprung der hostenden Seite ausgeführt wird, sobald ein Benutzer die Sidebar des Edit-Modus öffnet. Ein erfolgreicher Angriff kann Sitzungsdaten offenlegen und Aktionen in der Anwendung ermöglichen, die Verfügbarkeit ist nicht betroffen.
Betroffen
- @highcharts/dashboards (npm): Versionen ab 1.0.0 bis vor 4.2.3
- Der CNA-Eintrag nennt zusätzlich das Kernpaket highcharts unterhalb von 13.0.0-beta.2; die Herstellerwarnung bestätigt dies nicht, der Umfang ist daher unverifiziert.
Behoben in
- @highcharts/dashboards 4.2.3 (Herstellerfix, Commit e65f8c2)
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme. Unbekannt, ob eine Zwischenlösung existiert.
- Bis zur Installation des Updates die Bearbeitung des Edit-Modus und der Sprach- und Komponentenkonfiguration auf vertrauenswürdige Administratoren beschränken.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden. Nicht gegen CISA KEV geprüft.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Status eines öffentlichen Proof-of-Concept: unbekannt, nicht verifiziert.
- EPSS: 0,42 % (Perzentil 36).
Unsere Empfehlung
- Alle Websites und Anwendungen mit @highcharts/dashboards (npm oder CDN) inventarisieren und deren Versionen prüfen.
- Auf 4.2.3 oder neuer aktualisieren; dies deckt auch CVE-2026-118253 ab.
- Bis zum Abschluss des Updates einschränken, wer Sprach- und Komponentenkonfiguration im Dashboard bearbeiten kann.
- Prüfen, ob Highcharts Core (CVE-2026-118246) im Einsatz ist, und gegebenenfalls aktualisieren.
- Den Ausnutzungsstatus (CISA KEV, Herstellerwarnung) in den kommenden Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rcqf-f6h2-ccg9 github.com
- Highcharts Dashboards release 4.2.3 github.com
- Fix commit e65f8c2 github.com
- GitLab Advisory Database entry CVE-2026-118252 advisories.gitlab.com
- OSV GHSA-rcqf-f6h2-ccg9 osv.dev
- Highcharts Dashboards edit mode documentation highcharts.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.