Veille sécuritéFrontend
P3Élevée
Dans Highcharts, des chemins pointés définis par `series.keys` pouvaient être suivis sans filtrer leurs segments, permettant à des données contrôlées de modifier `Object.prototype`. Les propriétés injectées sont visibles par le reste du code JavaScript de la page ; mettre à jour vers la version corrigée correspondant à la branche utilisée.
JavaScript
IdentifiantCVE-2026-118250
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif11.4.9, 12.6.1 et 13.1.0 selon la branche
Source : GitHub Advisory GHSA-rmqc-xvr3-v46c
Analyse technique
Des segments de chemin issus de `series.keys` ne sont pas filtrés avant l’écriture des propriétés imbriquées.
Impact, versions et correctif
Événement datéAvis GitHub publié et mis à jour le 2026-10-28 à 19:56Z, dans la période demandée.
ImpactPollution de `Object.prototype`, dont les effets dépendent du code consommateur exécuté dans la page.
Versions affectéesHighcharts 6.1.0 à < 11.4.9 ; 12.0.0 à < 12.6.1 ; 13.0.0 à 13.0.2
Version corrigée11.4.9, 12.6.1 et 13.1.0 selon la branche
ContournementL’avis fournit un correctif temporaire qui rejette les chemins contenant `__proto__` ou `constructor`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-28T19:56:18Z
Mise à jour2026-10-28T19:56:20Z
Action recommandée
Mettre à jour Highcharts vers 11.4.9, 12.6.1 ou 13.1.0, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 2 source(s).