Highcharts Grid: Cross-Site-Scripting über Sprachoptionen der Seitennavigation
Zusammenfassung
Highcharts Grid (@highcharts/grid-lite und @highcharts/grid-pro) ab 2.0.0 vor 3.2.0 schreibt Sprachzeichenfolgen der Seitennavigation als HTML statt als Text in das DOM. Kann ein Angreifer die Sprachkonfiguration von Grid steuern, werden eingeschleuste Elemente mit Ereignishandlern im Ursprung der einbettenden Webseite ausgeführt, sobald die Seitennavigation gerendert wird. Die Seitennavigation muss aktiviert sein, und abgesehen vom Laden der Seite ist keine weitere Benutzerinteraktion nötig.
Betroffen
- @highcharts/grid-lite: >= 2.0.0, < 3.2.0
- @highcharts/grid-pro: >= 2.0.0, < 3.2.0
- highcharts (Highcharts JS Core): < 13.0.0-beta.2 gemäss CNA-Eintrag, unverifiziert; ein verwandter Hinweis nennt andere Versionen, Bestätigung durch den Hersteller nötig
Behoben in
- @highcharts/grid-lite und @highcharts/grid-pro: 3.2.0
- Highcharts Core: Unbekannt (Bestätigung durch Highsoft nötig)
Umgehung
- Das Aktualisieren auf 3.2.0 ist die Behebung.
- Falls ein Update blockiert ist, untrusted Zeichenfolgen vor der Übergabe an die Grid-Spracheinstellungen bereinigen oder HTML-kodieren.
- Die Herstellerwarnung enthält einen Workaround für Fälle, in denen die Grid-Konfiguration nicht vollständig kontrolliert wird; diesen in der Testumgebung lesen und prüfen.
Ausnutzung
- Ein Proof of Concept wird von einer Sekundärquelle gemeldet, nicht verifiziert.
- Ausnutzung in freier Wildbahn: Unbekannt.
- CISA-KEV-Eintrag: Laut einer Sekundärquelle nicht gelistet.
- NVD-Status zum Zeitpunkt der Erstellung: Awaiting Analysis.
Unsere Empfehlung
- Alle Webanwendungen mit @highcharts/grid-lite, @highcharts/grid-pro oder highcharts inventarisieren, inklusive Lockfiles, CDN-URLs und vendorisierter Kopien.
- Die Grid-Pakete auf 3.2.0 aktualisieren und die Highcharts-Core-Version beim Hersteller bestätigen.
- Anwendungen priorisieren, bei denen Sprachzeichenfolgen der Seitennavigation von Benutzern, CMS-Feldern, Datenbanken oder APIs stammen können.
- Bis zur Behebung diese Eingaben einschränken oder bereinigen.
- Den Schweregrad-Widerspruch beachten: CVSS 4.0 mit 8.6 vom CNA, CVSS 3.1 mit 9.6 von einem GitLab-Spiegel.
- Den NVD-Eintrag und die GitHub-Warnung auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r5wg-q8fc-p6w2 github.com
- Fix commit 1e8ded8 github.com
- Release grid-v3.2.0 github.com
- Highcharts Grid changelog changelog.highcharts.com
- OSV GHSA-r5wg-q8fc-p6w2 osv.dev
- GitLab advisory (CVSS discrepancy) advisories.gitlab.com
- VulDB CVE-2026-118254 vuldb.com
- CVE Reports CVE-2026-118254 (secondary) cvereports.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.