CVE-2026-118250
Highcharts: dotted series.keys paths write to Object.prototype
CVSS 3.1High
7.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 11.4.9, 12.6.1, 13.1.0
Обновите Highcharts до версий 11.4.9, 12.6.1 или 3.1.0 в зависимости от используемой ветки.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Библиотека Highcharts обходит пути в series.keys, разделенные точками, без валидации сегментов. Это допускает запись свойств в Object.prototype.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Атакующий, контролирующий параметр series.keys и соответствующие данные точек, может составить ключ через __proto__. При разборе графика Highcharts производит прямую запись свойств в глобальный прототип объекта.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Загрязнение прототипа (Prototype Pollution) без необходимости действий пользователя, что ведет к искажению логики клиентского приложения или DoS.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
highchartshighcharts
>= 6.1.0➔Fix: 11.4.9
highchartshighcharts
>= 12.0.0➔Fix: 12.6.1
highchartshighcharts
>= 13.0.0➔Fix: 13.1.0
——
>= 12.0.0➔Fix: 12.6.1
——
>= 13.0.0➔Fix: 13.1.0
——
>= 6.1.0➔Fix: 11.4.9
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/highcharts/highcharts/security/advisories/GHSA-rmqc-xvr3-v46c
- github.comhttps://github.com/highcharts/highcharts/pull/25313
- github.comhttps://github.com/highcharts/highcharts/commit/fd4ee8140732618bbe71295aba55398fb1f8fa9e
- github.comhttps://github.com/highcharts/highcharts/releases/tag/v13.1.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-118250: Highcharts: dotted series.keys paths write to Object.prototype. URL: https://cve.futuretools.ru/cve/CVE-2026-118250
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_118250,
title = {{CVE-2026-118250: Highcharts: dotted series.keys paths write to Object.prototype}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-118250}},
note = {Оперативный инженерный анализ киберугроз}
}