Veille sécuritéFrontend
P3Élevée
Highcharts Grid versions antérieures à 3.2.0 utilisent `credits.href` sans valider le schéma de l’URL. Une configuration contrôlée par un attaquant peut fournir une URL `javascript:` dont l’activation exécute un script dans l’origine de l’application; mettre à jour vers Grid Pro 3.2.0.
JavaScript
IdentifiantCVE-2026-118255
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.2.0
Source : NVD — CVE-2026-118255
Analyse technique
Le lien des crédits accepte une URL sans contrôle de schéma; l’exécution se produit lors de l’activation du lien.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T19:17:29.900Z, dans la période demandée.
ImpactExécution de script dans l’origine de la page, avec accès potentiel aux données et à l’état de session de l’application.
Versions affectéesHighcharts Grid 2.0.0 à avant 3.2.0
Version corrigée3.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
Publication2026-10-28T19:17:29.900Z
Mise à jour2026-10-29T15:08:43.210Z
Action recommandée
Mettre à jour Highcharts Grid Pro vers 3.2.0 et ne pas accepter de configuration de crédits non fiable.
Sources
Priorisation DFS : P3 · 1 source(s).