Vulnerabilidad de Cross-Site Scripting por Búsqueda No Validada en Highcharts Dashboards (CVE-2026-118245)

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS, clasificada como CWE-79) en Highcharts Dashboards. La falla se origina debido a que la propiedad chartConstructor realiza una búsqueda no controlada ni validada directamente en el espacio de nombres de Highcharts (unchecked lookup into the Highcharts namespace). Esto permite que un atacante inyecte marcado malicioso y controladores de eventos que se ejecutan automáticamente en el origen de la página web que hospeda el panel al momento de renderizarlo.

Vector de Ataque: Remoto vía red; no requiere ningún tipo de interacción por parte del usuario más allá de visualizar o renderizar el panel afectado.

Impacto: Confidencialidad, integridad y disponibilidad comprometidas en el contexto del navegador del usuario. Permite la ejecución de scripts arbitrarios en el origen de la página web anfitriona, facilitando el robo de sesiones, cookies o la manipulación del contenido visualizado.

Parches y Actualizaciones: actualizar los paquetes Highcharts Dashboards a la versión 4.2.3 o posterior (y Highcharts a la versión 13.1.0 o superior) provistas por el fabricante.

Mitigaciones Temporales: validar y sanitizar estrictamente cualquier entrada de datos de configuración externa que controle la propiedad chartConstructor o la estructura de los paneles antes de pasarlas al componente de renderizado.

Buenas Prácticas: implementar políticas de seguridad de contenido (Content Security Policy - CSP) robustas en la aplicación web para mitigar el impacto potencial de la ejecución de scripts no deseados (XSS).

https://nvd.nist.gov/vuln/detail/cve-2026-118245