Veille sécuritéFrontend
P3Élevée
Dans Highcharts Dashboards avant 4.2.2, chartConstructor est utilisé comme recherche de propriété non contrôlée dans l’espace de noms Highcharts. Une configuration de tableau de bord contrôlée par un attaquant peut sélectionner une fonction utilitaire et conduire à l’injection de balisage ou à l’exécution de gestionnaires d’événements lors du rendu.
JavaScript
IdentifiantCVE-2026-118245
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.2.2
Source : CVE-2026-118245 — NVD
Analyse technique
La valeur sélectionnée est appelée avec le conteneur du composant et chartOptions. Le rendu du tableau de bord suffit à déclencher le scénario, sans interaction supplémentaire de l’utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 28 octobre 2026 à 18:17:15.403Z, dans la période demandée. Sa mise à jour du 29 octobre est postérieure à la période.
ImpactInjection de balisage et exécution possible de script dans l’origine de la page.
Versions affectéesHighcharts Dashboards de 1.0.0 à 4.2.1
Version corrigée4.2.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
Publication2026-10-28T18:17:15.403Z
Action recommandée
Mettre à jour Highcharts Dashboards vers la version 4.2.2.
Sources
Priorisation DFS : P3 · 1 source(s).