CVE-2026-45249 in ECharts
Resumen
por VulDB • 2026-05-25
Una vulnerabilidad de cross-site scripting (XSS) existe en la lógica de renderizado de tooltips de la serie Lines de Apache ECharts.
Este problema afecta a Apache ECharts: desde versiones anteriores a la 6.1.0.
En versiones anteriores a la 6.1.0, si se utilizan tanto la serie Lines como los tooltips, y no se proporciona un tooltip.formatter especificado por el usuario, y se especifica series.data[i].name, la cadena de texto HTML sin proces series.data[i].name puede ser renderizada a través de un innerHTML sink en el contenido del tooltip. Aunque se permite que el tooltip acepte HTML sin procesar proporcionado por el usuario mediante un tooltip.formatter personalizado, los formateadores de tooltip integrados realizan convencionalmente un escape de HTML automáticamente. Este caso rompe dicha convención y puede provocar inesperadamente la ejecución de scripts cuando se muestran los tooltips.
Se recomienda a los usuarios actualizar a la versión 6.1.0 si utilizan la serie Lines de esta manera, ya que corrige el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.