Veille sécuritéFrontend
P3Élevée
Dans Highcharts, les options de style des breadcrumbs sont appliquées comme attributs SVG sans filtrage, dans les versions affectées. Une configuration contrôlée par un attaquant peut ajouter des gestionnaires d’événements au bouton breadcrumb et provoquer l’exécution de script après navigation et interaction; les graphiques en styled mode ne sont pas concernés.
JavaScript
IdentifiantCVE-2026-118246
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif11.4.9, 12.6.1, 13.1.0
Source : CVE-2026-118246 — NVD
Analyse technique
Les options concernées comprennent drilldown.breadcrumbs, navigation.breadcrumbs et les options de breadcrumb des séries hiérarchiques. Le problème ne s’applique pas aux graphiques utilisant le styled mode.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 28 octobre 2026 à 18:17:15.540Z, dans la période demandée. Sa mise à jour du 29 octobre est postérieure à la période.
ImpactExécution de script dans l’origine de la page hébergeant le graphique.
Versions affectéesHighcharts à partir de 10.0.0 et avant 11.4.9, 12.6.1 ou 13.1.0
Version corrigée11.4.9, 12.6.1, 13.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
Publication2026-10-28T18:17:15.540Z
Action recommandée
Mettre à jour vers Highcharts 11.4.9, 12.6.1 ou 13.1.0 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).