Veille sécuritéFrontend
P3Élevée
Dans Highcharts, une valeur `credits.href` commençant par `javascript:` pouvait être assignée à la destination de navigation lorsque l’utilisateur cliquait sur le lien des crédits. Si une configuration de graphique contrôlée par un attaquant atteint le composant, ce mécanisme permet l’exécution de script dans l’origine de la page ; mettre à jour vers la version corrigée applicable.
JavaScript
IdentifiantCVE-2026-118251
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif11.4.9, 12.6.1 et 13.1.0 selon la branche
Source : GitHub Advisory GHSA-5793-x2q3-c3q7
Analyse technique
Le lien des crédits ne vérifiait pas le schéma de `credits.href` avant de l’utiliser comme destination de navigation.
Impact, versions et correctif
Événement datéAvis GitHub publié et mis à jour le 2026-10-28 à 19:56Z, dans la période demandée.
ImpactExécution de script dans l’origine de la page après activation du lien des crédits.
Versions affectéesHighcharts < 11.4.9 ; 12.0.0 à < 12.6.1 ; 13.0.0 à 13.0.2
Version corrigée11.4.9, 12.6.1 et 13.1.0 selon la branche
ContournementL’avis fournit un correctif temporaire qui retire les valeurs `credits.href` dont le schéma n’est pas autorisé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
Publication2026-10-28T19:56:23Z
Mise à jour2026-10-28T19:56:37Z
Action recommandée
Mettre à jour Highcharts vers 11.4.9, 12.6.1 ou 13.1.0, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 2 source(s).