Veille sécuritéFrontend
P3Élevée
La construction des colonnes de séries de Highcharts utilisait directement certaines clés des objets de points, permettant à des clés spécialement formées de modifier `Object.prototype` lorsque l’attaquant contrôle les données de points. Cette pollution peut affecter d’autres traitements JavaScript de la page ; la plage corrigée indiquée par l’avis est Highcharts 13.1.0.
JavaScript
IdentifiantCVE-2026-118249
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif13.1.0
Source : GitHub Advisory GHSA-gfvx-2c2g-38wq
Analyse technique
Les clés `__proto__` et `constructor` présentes dans les objets de points peuvent conduire à l’écriture de propriétés indexées sur `Object.prototype` lors de la construction des colonnes.
Impact, versions et correctif
Événement datéAvis GitHub publié et mis à jour le 2026-10-28 à 19:56Z, dans la période demandée.
ImpactModification de propriétés héritées visible dans les objets JavaScript de la page, avec conséquences dépendant de l’application.
Versions affectéesHighcharts >= 13.0.0, <= 13.0.2
Version corrigée13.1.0
ContournementL’avis fournit un correctif temporaire à appliquer après le chargement de Highcharts.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-28T19:56:13Z
Mise à jour2026-10-28T19:56:15Z
Action recommandée
Mettre à jour Highcharts vers 13.1.0 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 2 source(s).