Veille sécuritéFrontend
P3Élevée
Dans Highcharts, le filtrage des attributs autorisait un `xlink:href` contenant une URL `javascript:` à subsister dans le SVG exporté, même si l’attribut n’agissait pas comme lien dans la page d’origine. Si le SVG est ensuite ouvert ou réinterprété et que l’utilisateur active le lien, du code peut s’exécuter dans l’origine du document ; mettre à jour vers la version corrigée de la branche utilisée.
JavaScript
IdentifiantCVE-2026-116796
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif11.4.9, 12.6.2 et 13.1.1 selon la branche
Source : GitHub Advisory GHSA-mw4f-gj5x-6xr4
Analyse technique
Le filtre de balisage ne vérifiait pas le schéma de `xlink:href` ; le risque dépend de la réinterprétation du SVG exporté et de l’activation du lien par un utilisateur.
Impact, versions et correctif
Événement datéAvis GitHub publié et mis à jour le 2026-10-28 à 19:55Z, dans la période demandée.
ImpactExécution de JavaScript dans l’origine du document qui réinterprète le SVG et dont l’utilisateur active le lien malveillant.
Versions affectéesHighcharts 10.3.2 à < 11.4.9 ; 12.0.0 à < 12.6.2 ; 13.0.0 à 13.1.0
Version corrigée11.4.9, 12.6.2 et 13.1.1 selon la branche
ContournementL’avis fournit un correctif temporaire à appliquer après le chargement de Highcharts et avant la création des graphiques.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-28T19:55:10Z
Mise à jour2026-10-28T19:55:11Z
Action recommandée
Mettre à jour Highcharts vers 11.4.9, 12.6.2 ou 13.1.1, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 2 source(s).