Le journal DFS
JavaScript
-
Highcharts Dashboards : sélection non contrôlée de chartConstructor
P3 · Élevée · CVE-2026-118245 — Dans Highcharts Dashboards avant 4.2.2, chartConstructor est utilisé comme recherche de propriété non contrôlée dans l’espace de noms Highcharts. Une…
-
Highcharts : injection de HTML lors du rendu déclenché par l’impression
P3 · Élevée · CVE-2026-118244 — Dans Highcharts de la version 12.0.0 jusqu’aux versions correctives, un chemin de repli peut affecter du contenu brut à innerHTML…
-
Highcharts Grid : attributs d’événement injectables dans les icônes SVG
P3 · Élevée · CVE-2026-118242 — Dans Highcharts Grid avant 3.2.0, les définitions d’icônes peuvent fournir des noms d’attributs copiés sur des éléments SVG sans filtrage.…
-
Highcharts Grid Pro : injection d’attributs d’événement dans les contrôles de cellule
P3 · Élevée · CVE-2026-116797 — Dans Highcharts Grid Pro avant 3.2.0, les attributs fournis dans la configuration des cellules sont copiés sans filtrage sur des…
-
Highcharts : URL javascript dans xlink:href des graphiques exportés
P3 · Élevée · CVE-2026-116796 — Dans Highcharts, le filtrage des attributs autorisait un `xlink:href` contenant une URL `javascript:` à subsister dans le SVG exporté, même…
-
re2js : déni de service par complexité quadratique avec lookbehinds
P3 · Élevée · CVE-2026-116795 — Dans re2js de 2.2.0 à 2.8.6, l’utilisation de lookbehinds avec des API de recherche répétée peut entraîner un temps de…
-
Happy DOM : requêtes SSRF déclenchées par l’analyse de HTML
P3 · Élevée · CVE-2026-118660 — Happy DOM jusqu’à la version 20.14.6 peut effectuer par défaut des requêtes HTTP vers des URL arbitraires lors de l’analyse…
-
Happy DOM : accès SSRF via le serveur de rendu
P3 · Élevée · CVE-2026-118659 — Le serveur de rendu de Happy DOM avant 21.0.2 accepte des requêtes HTTP/2 non authentifiées et peut suivre une destination…
-
Highcharts Grid : exécution de script via le lien des crédits
P3 · Élevée · CVE-2026-118255 — Highcharts Grid versions antérieures à 3.2.0 utilisent `credits.href` sans valider le schéma de l’URL. Une configuration contrôlée par un attaquant…
-
Highcharts Grid : XSS via les chaînes de langue de pagination
P3 · Élevée · CVE-2026-118254 — Highcharts Grid traitait certaines chaînes de langue de pagination comme du HTML, ce qui pouvait permettre une XSS dans l’origine…