Veille sécuritéFrontend
P4Moyenne
Dans le mode édition de Highcharts Dashboards avant 4.2.2, les chemins de propriété des options éditables ne rejettent pas les clés liées au prototype. Une édition contrôlée par un attaquant peut donc écrire une valeur sur Object.prototype, où elle devient visible dans tout le code JavaScript de la page.
JavaScript
IdentifiantCVE-2026-118248
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.2.2
Source : CVE-2026-118248 — NVD
Analyse technique
Les segments de propertyPath acceptent notamment __proto__ ou constructor. Les conséquences dépendent du code de l’application qui consomme les propriétés héritées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 28 octobre 2026 à 18:17:15.870Z, dans la période demandée. Sa mise à jour du 29 octobre est postérieure à la période.
ImpactAjout d’une propriété sur Object.prototype, avec des conséquences dépendant du code qui l’utilise.
Versions affectéesHighcharts Dashboards de 1.0.0 à 4.2.1
Version corrigée4.2.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-28T18:17:15.870Z
Action recommandée
Mettre à jour Highcharts Dashboards vers la version 4.2.2.
Sources
Priorisation DFS : P4 · 1 source(s).