Highcharts Grid 分頁語言被解析為 HTML，導致 DOM 注入漏洞（CVE-2026-118254）

Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 2.0.0 到 3.2.0，Highcharts Grid 會將分頁語言字串以標記方式寫入 DOM，而非純文字。控制 Grid 語言設定的攻擊者可以提供帶有事件處理器的元素，當分頁控制項渲染時，這些事件會以主機頁面來源執行。利用此漏洞僅需啟用分頁，無需額外使用者互動。此問題已於 3.2.0 修復。

影響

受影響產品

以下產品受 CVE-2026-118254 漏洞影響。 即使 cvefeed.io 瞭解受影響產品的具體版本，該資訊亦未在下表中呈現。

Common Vulnerability Scoring System 是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。 我們會收集並顯示各來源對每個 CVE 的 CVSS 分數。

將 Highcharts JS 更新至 3.2.0 或以上版本以修復 DOM 標記注入。

• 將 Highcharts JS 更新至 3.2.0 或以上版本。
• 審查並清理所有語言字串設定。
• 若無法更新，請停用分頁功能。

在此，您將找到一份精選的外部連結，提供關於 CVE-2026-118254 的深入資訊、實用解決方案及有價值工具。

雖然 CVE 確定漏洞的具體例項，CWE 則將可能導致漏洞的共通缺陷或弱點分類。CVE-2026-118254 與以下 CWEs 相關：

Common Attack Pattern Enumeration and Classification (CAPEC) 存放攻擊模式，描述對手為利用 CVE-2026-118254 弱點所採用的共通屬性與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證攻擊。以下列表為已發布於 GitHub 的公開攻擊與概念驗證集合（依最近更新時間排序）。

\n 結果僅限於前 15 個儲存庫，因為可能會影響效能。\n

以下列表是已被提及的新聞 CVE-2026-118254 漏洞在文章中任何地方。

\n 以下表格列出對CVE-2026-118254漏洞隨時間變化所做的更改。\n

\n 漏洞歷史細節有助於瞭解漏洞的演變\n 以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。\n

• 已接收新 CVE 由 [email protected]

  十月. 28, 2026

  動作	型別	舊值	新值
  新增	說明		Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 2.0.0 到 3.2.0，Highcharts Grid 將分頁語言字串以標記方式寫入 DOM，而非純文字。控制 Grid 語言配置的攻擊者可以提供帶有事件處理器的元素，當分頁控制項呈現時，這些事件會在宿主頁面來源執行。利用此漏洞需要啟用分頁，但不需要額外的使用者互動。此問題已於 3.2.0 修正。
  新增	CVSS V4.0		AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  新增	CWE		CWE-79
  新增	Affected		已接收新受影響值。 <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118254.json">CVE-2026-118254</a>
  新增	參考		https://github.com/highcharts/highcharts/commit/1e8ded84d52191883965641b863cf0c73eb759aa
  新增	參考		https://github.com/highcharts/highcharts/releases/tag/grid-v3.2.0
  新增	參考		https://github.com/highcharts/highcharts/security/advisories/GHSA-r5wg-q8fc-p6w2

\n EPSS 是對未來 30 天內可被觀測到的利用活動機率的每日估算。\n 以下圖表顯示該漏洞的 EPSS 分數歷史。\n