CVE-2026-118247 in Dashboards
Zusammenfassung
von VulDB • 28.10.2026
Highcharts JS ist eine auf SVG basierende JavaScript-Charting-Bibliothek. Von Version 1.0.0 bis zu Dashboards 4.2.2 sowie von 2.0.0 bis zu Grid Pro 3.2.0 verwenden Highcharts DataTable Single-Cell-Writer eine nicht vertrauenswürdige Spalten-ID als Schlüssel, ohne __proto__ oder constructor abzulehnen. Daher kann DataTable.setCell – einschließlich der Dashboards Connector Write-back- und Grid Pro-Bearbeitungspfade – integer-indizierte Werte auf Object.prototype oder den Object-Konstruktor schreiben. In Dashboards-Versionen mit Spaltenaliasnamen wird eine wörtliche __proto__-ID durch die Alias-Zuordnung umgeleitet, während ein Alias, das auf __proto__ verweist, zur unsicheren Schreiboperation führt; spätere Versionen ohne Aliase akzeptieren die unsichere ID direkt. Diese geerbten Werte beeinflussen Array- und Objekt-Lesevorgänge sowie for-in-Enumerationen über die gesamte Seite hinweg, was den Anwendungssteuerungsfluss verändern oder das Rendering stören kann. Die Ausnutzung erfordert Kontrolle über die Tabellen- oder Komponenten-Spalten-ID sowie eine Zellen-, Punkt- oder API-Schreiboperation. Dieses Problem wurde in Dashboards 4.2.2 und Grid Pro 3.2.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.