Highcharts Dashboards 全螢幕標籤被解析為 HTML，導致 XSS 漏洞
CVE-2026-118253 - Highcharts Dashboards: fullscreen labels are parsed as HTML
Highcharts Dashboards 在全螢幕模式下的語言標籤被解析為 HTML，造成 XSS 漏洞。
- 影響版本：1.0.0 至 4.2.3。
此漏洞揭示了 Highcharts Dashboards 在全螢幕模式下的 XSS 風險，提醒開發者及時升級至 4.2.3 以保護網頁安全；若不升級，攻擊者可透過自訂語言標籤注入事件處理器，造成跨站指令碼執行，進而執行任意 JavaScript，危及使用者資料與系統完整性；此外，修補後的版本已將解析方式改為純文字，消除此類攻擊面，並建議關閉 Dashboards 編輯模式以降低風險。
譯文尚未完整，完整內容請切換至原文。
Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 1.0.0 到 4.2.3，Highcharts Dashboards 編輯模式會將全螢幕語言標籤解析為 HTML，而不是作為純文字插入。控制 Dashboards 語言選項的攻擊者可以提供帶有事件處理器的標記，當全螢幕控制渲染時，這些事件處理器會在主機頁面原點執行。此標籤僅在啟用編輯模式且 context-menu 專案中存在 viewFullscreen 時可存取。此問題已在 4.2.3 中修復。
影響
受影響產品
以下產品受 CVE-2026-118253 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，資訊也未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Highcharts | highcharts |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重性。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | HIGH | [email protected] |
更新 Highcharts JS 至 4.2.3 或更高版本以修復 XSS 漏洞。
- 更新 Highcharts JS 至 4.2.3 或更高版本。
- 確保在不需要時停用 Dashboards 編輯模式。
- 審查並清理語言標籤輸入。
- 從 context-menu 專案中移除 viewFullscreen。
此處您將找到一份精心整理的外部連結清單，提供關於 CVE-2026-118253 的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 識別漏洞的具體例項，CWE 則對可能導致漏洞的共通缺陷或弱點進行分類。CVE-2026-118253 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，這些模式描述了對手利用 CVE-2026-118253 弱點所採用的共通特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下清單是已在 GitHub 釋出的公開漏洞與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單列出在文章中提及
CVE-2026-118253 漏洞的新聞。
以下表格列出隨時間變化對
CVE-2026-118253 漏洞所做的更改。
漏洞歷史細節對於瞭解漏洞演變、以及辨識可能影響漏洞嚴重度、可利用性或其他特徵的最新變更非常有用。
-
新 CVE 已接收 By [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 描述 Highcharts JS 是一個基於 SVG 的 JavaScript 圖表庫。從 1.0.0 到 4.2.3，Highcharts Dashboards 編輯模式會將全螢幕語言標籤解析為 HTML，而非將其作為文字插入。控制 Dashboards 語言選項的攻擊者可提供帶有事件處理程序的標記，當全螢幕控制項呈現時，這些事件會在主機頁面來源執行。該標籤僅在啟用編輯模式且在上下文選單專案中存在 viewFullscreen 時可存取。此問題已於 4.2.3 修復。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 已新增 CWE CWE-79 已新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118253.json">CVE-2026-118253</a> 已新增 參考 https://github.com/highcharts/highcharts/commit/f97213bab745e40f628720c21f4e8b31ee3e768b 已新增 參考 https://github.com/highcharts/highcharts/releases/tag/dashboards-v4.2.3 已新增 參考 https://github.com/highcharts/highcharts/security/advisories/GHSA-58g7-7f52-h92c
EPSS 是對於未來 30 天內觀測到利用活動的可能性的每日估計。 觀測到利用活動的可能性。以下圖表顯示此漏洞的 EPSS 分數歷史。