Veille sécuritéFrontend
P3Élevée
Dans Highcharts de la version 12.0.0 jusqu’aux versions correctives, un chemin de repli peut affecter du contenu brut à innerHTML avant l’application de la liste d’autorisation. Dans Chromium, une erreur de Trusted Types pendant un gestionnaire beforeprint peut ainsi permettre l’injection de HTML non fiable et l’exécution de script au démarrage de l’impression.
JavaScript
IdentifiantCVE-2026-118244
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif12.6.1, 13.1.0
Source : CVE-2026-118244 — NVD
Analyse technique
Le scénario nécessite notamment un rendu de graphique pendant beforeprint. Les options concernées incluent des titres, libellés, data labels et textes responsifs, ainsi que les produits Stock, Maps et Gantt livrés dans le même paquet.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 28 octobre 2026 à 18:17:15.260Z, dans la période demandée. Sa mise à jour du 29 octobre est postérieure à la période.
ImpactInjection de HTML et exécution possible de script dans l’origine de la page.
Versions affectéesHighcharts de 12.0.0 à 12.6.0 et de 13.0.0 à 13.0.x
Version corrigée12.6.1, 13.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-28T18:17:15.260Z
Action recommandée
Mettre à jour vers Highcharts 12.6.1 ou 13.1.0 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).