Highcharts Grid : XSS via les chaînes de langue de pagination

Veille sécuritéFrontend

P3Élevée

Highcharts Grid traitait certaines chaînes de langue de pagination comme du HTML, ce qui pouvait permettre une XSS dans l’origine de l’application lorsque des données non fiables contrôlaient la configuration. Les versions affectées sont corrigées en 3.2.0 ; mettre à niveau les paquets concernés ou appliquer le contournement décrit dans l’avis.

IdentifiantCVE-2026-118254

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif@highcharts/grid-lite 3.2.0; @highcharts/grid-pro 3.2.0

Source : GHSA-r5wg-q8fc-p6w2 — Highcharts Grid parses pagination language options as HTML

Analyse technique

XSS via l’insertion de chaînes de langue de pagination dans le DOM comme balisage. L’exploitation nécessite que des données non fiables atteignent la configuration de langue et que la pagination soit activée.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-28 à 19:57:34Z, soit 21:57:34+02:00, dans la période retenue.

ImpactExécution de script dans l’origine de l’application hébergeant Grid si une configuration contrôlée par un attaquant est rendue avec pagination.

Versions affectées@highcharts/grid-lite et @highcharts/grid-pro : >= 2.0.0, <= 3.1.0

Version corrigée@highcharts/grid-lite 3.2.0; @highcharts/grid-pro 3.2.0

ContournementÉchapper les chaînes de langue de pagination avant de créer une grille, selon le code fourni dans l’avis.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6

Publication2026-10-28T21:57:34+02:00

Mise à jour2026-10-28T21:57:36+02:00

Action recommandée

Mettre à niveau @highcharts/grid-lite et/ou @highcharts/grid-pro vers la version 3.2.0 ou ultérieure.

Sources

Priorisation DFS : P3 · 2 source(s).