CVE-2026-118255：Highcharts Grid 允許透過 credits.href 執行 JavaScript，造成跨站指令碼風險
CVE-2026-118255 - Highcharts Grid: javascript: URL in credits.href runs script on click
- 核心漏洞：Highcharts Grid 3.2.0 之前版本未驗證 credits.href 的 URL 協議，允許
javascript:方案執行任意指令碼。
此漏洞使攻擊者可透過 Highcharts Grid 的 credits.href 執行任意 JavaScript，若未升級將可能導致使用者資料外洩，建議立即升級至 3.2.0 以避免跨站指令碼攻擊，並在配置中驗證 URL 協議以確保安全；此舉可防止在多租戶環境中被利用，確保應用程式的資料完整性與使用者隱私。
譯文尚未完整，完整內容請切換至原文。
Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 2.0.0 到 3.2.0，Highcharts Grid 在 credits.href 上使用 credits link 而不驗證 URL 協定。控制 Grid 配置的攻擊者可以提供 javascript URL，點選 credits link 時會在主機頁面原始域執行指令碼，並存取該應用程式的資料與會話狀態。此問題已於 Grid Pro 3.2.0 修復。
影響
受影響產品
以下產品受 CVE-2026-118255 漏洞影響。
即使 cvefeed.io 知道受影響產品的精確版本，該資訊並未在下表中呈現。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Highcharts | highcharts |
Common Vulnerability Scoring System 是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 4.0 | HIGH | [email protected] |
將 Highcharts Grid 更新至 3.2.0 或以上版本，以修復 JavaScript URL 驗證問題。
- 將 Highcharts Grid 更新至 3.2.0 或以上版本。
- 在設定中驗證所有 URL 協定。
此處提供精選外部連結，提供關於 CVE-2026-118255 的深入資訊、實用解決方案及有價值工具。
雖然 CVE 識別具體漏洞例項，CWE 將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-118255 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，描述對手利用 CVE-2026-118255 弱點所採用的常見屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已在 GitHub 釋出的公開漏洞與概念驗證（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中已提及CVE-2026-118255漏洞的新聞。
以下表格列出CVE-2026-118255漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，以及辨識可能影響漏洞嚴重性、可利用性或其他特性的最新變更。
-
收到新的 CVE 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 2.0.0 到 3.2.0，Highcharts Grid 在 credits.link 上套用了 credits.href，而未驗證 URL 協議。控制 Grid 設定的攻擊者可以提供 javascript URL，點選 credits link 時會在主機頁面原始域執行指令碼，並能存取該應用程式的資料與會話狀態。此問題已於 Grid Pro 3.2.0 修復。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-79 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118255.json">CVE-2026-118255</a> 新增 參考 https://github.com/highcharts/highcharts/commit/45b74403acafbe9f621c4a343506721d9129e991 新增 參考 https://github.com/highcharts/highcharts/pull/25351 新增 參考 https://github.com/highcharts/highcharts/releases/tag/grid-v3.2.0 新增 參考 https://github.com/highcharts/highcharts/security/advisories/GHSA-6hgp-fmhr-mrg4
EPSS 是對未來 30 天內觀測到利用活動的每日機率估算。以下圖表顯示該漏洞的 EPSS 分數歷史。