Highcharts Dashboards: Cross-Site Scripting in Sprachbeschriftungen des Vollbildmodus
Zusammenfassung
Highcharts Dashboards verarbeitet Sprachbeschriftungen des Vollbildmodus im Bearbeitungsmodus als HTML statt als reinen Text. Ein Angreifer, der die Sprachoptionen von Dashboards kontrollieren kann, kann Markup mit Event-Handlern einschleusen, das im Ursprung der hostenden Seite ausgeführt wird, sobald das Vollbild-Steuerelement dargestellt wird. Voraussetzung ist, dass der Bearbeitungsmodus aktiviert ist und das Element viewFullscreen in den Kontextmenü-Einträgen vorhanden ist. Der CVSS-4.0-Basiswert in den CVE-Daten beträgt 8.4 (HIGH), während die gespiegelte GitHub-Advisory einen anderen CVSS-3.1-Vektor und Wert angibt.
Betroffen
- @highcharts/dashboards ab 1.0.0 bis vor 4.2.3
- Die CNA-Daten nennen zusätzlich das Kernpaket highcharts unterhalb von 13.0.0-beta.2. Die Herstellerwarnung nennt nur Dashboards, daher ist unbestätigt, ob das Kernpaket Highcharts betroffen ist.
Behoben in
- @highcharts/dashboards 4.2.3 (Herstellerkorrektur, Commit f97213b)
Umgehung
Der Hersteller dokumentiert keine Workaround-Massnahme. Das Aktualisieren auf 4.2.3 oder neuer ist die angegebene Korrektur.
- Das Deaktivieren des Bearbeitungsmodus oder das Entfernen des Menüeintrags für das Vollbild sollte die Angriffsfläche beseitigen (Ableitung aus der Beschreibung, keine Herstelleraussage).
- Untrusted Benutzer oder externe Datenquellen dürfen die Sprachoptionen von Dashboards nicht setzen; solche Eingaben sind serverseitig zu bereinigen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn durch Hersteller oder CNA gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.42 % (Perzentil 36).
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- @highcharts/dashboards auf 4.2.3 oder neuer aktualisieren.
- Prüfen, ob das npm-Paket oder die per CDN geladene dashboards.js in kundenseitigen Anwendungen eingesetzt wird.
- Falls ein Update nicht umgehend möglich ist, den Bearbeitungsmodus deaktivieren oder einschränken, wer Sprachoptionen setzen kann.
- Prüfen, ob Dashboards auf öffentlich erreichbaren Portalen mit Anmeldung liegen, da dies die Priorität erhöht.
- Prüfen, ob das Kernpaket Highcharts eingesetzt wird, und dessen Status beim Hersteller bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub commit f97213b (fix) github.com
- GitHub release dashboards-v4.2.3 github.com
- GitHub Security Advisory GHSA-58g7-7f52-h92c github.com
- Mirrored advisory (GitLab) advisories.gitlab.com
- OSV GHSA-58g7-7f52-h92c osv.dev
- VulDB entry 428148 vuldb.com
- Vulners CVE record vulners.com
- Highcharts changelog changelog.highcharts.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.