Highcharts Grid Pro: Cross-Site Scripting über javascript:-URL im Credits-Link
Zusammenfassung
Highcharts Grid Pro übernimmt den konfigurierten Wert credits.href in den Credits-Link, ohne das URL-Schema zu prüfen. Ein Angreifer, der die Grid-Konfiguration beeinflussen kann, kann eine javascript:-URL setzen; beim Klick auf den Credits-Link läuft Script im Ursprung der hostenden Seite und hat Zugriff auf Daten und Sitzung dieser Anwendung. Voraussetzung sind eine Einflussnahme auf die Konfiguration und ein Klick des Benutzers.
Betroffen
- Grid Pro (@highcharts/grid-pro): 2.0.0 bis vor 3.2.0
- Die Advisory-Daten nennen zusätzlich @highcharts/dashboards 3.2.0 bis vor 4.0.0 sowie highcharts vor 13.0.0-beta.2 (nicht verifiziert)
- Grid Lite: möglicherweise betroffen, vom Hersteller nicht bestätigt
Behoben in
- Grid Pro 3.2.0 oder neuer (Korrektur des Herstellers)
- Korrigierte Versionen für Dashboards und Highcharts Core: Unbekannt.
Umgehung
- Workaround des Herstellers: Unbekannt (siehe GHSA-Advisory).
- Nicht getesteter Vorschlag eines Drittanbieters: credits.href entfernen oder credits in nicht vertrauenswürdigen Konfigurationen deaktivieren.
- Grid-Konfiguration niemals aus nicht vertrauenswürdigen Eingaben aufbauen.
Ausnutzung
- Öffentlicher Proof of Concept: keiner gefunden.
- Ausnutzung in freier Wildbahn: keine gefunden; nicht gegen den CISA-KEV-Katalog geprüft.
- EPSS: 0.35 % (Perzentil 28).
Unsere Empfehlung
- Grid Pro auf 3.2.0 oder neuer aktualisieren und zusammen mit weiteren am selben Tag veröffentlichten Grid-Advisories einplanen.
- Prüfen, ob die Grid-Konfiguration aus benutzergesteuerten Daten, Datenbanken oder Schnittstellen stammt, und diese Anwendungen priorisieren.
- Falls ein Update nicht sofort möglich ist, den Workaround erst nach einem Test anwenden.
- Versionen von Grid Lite und Dashboards mit dem Hersteller-Advisory bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6hgp-fmhr-mrg4 github.com
- Fix commit 45b7440 github.com
- Pull request #25351 github.com
- Highcharts Grid v3.2.0 release github.com
- OSV GHSA-6hgp-fmhr-mrg4 osv.dev
- GitLab Advisory Database: @highcharts/grid-pro CVE-2026-118255 advisories.gitlab.com
- Vulners CVE-2026-118255 vulners.com
- CVE Reports: CVE-2026-118255 cvereports.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:55.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.