Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-107588 Múltiples vulnerabilidades en la biblioteca Highcharts incluida con Vaadin Charts

Vaadin Charts fija una versión exacta de Highcharts (9.2.2 en Vaadin 22 a 24 y 12.2.0 en Vaadin 25), por lo que no se pueden quitar las vulnerabilidades actualizando Highcharts por separado. Highsoft divulgó escrituras en Object.prototype mediante rutas series.keys con puntos y cross-site scripting (XSS) mediante credits.href, breadcrumbs.style, el parseo de texto HTML al imprimir y atributos xlink:href en gráficos exportados. Afecta cuando datos controlados por un atacante llegan a la configuración del gráfico…

Alerta de Nureq Monitor

Detectada 21 OCT · 16:26

CVSS 4.0

8.4ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,5 % PERCENTIL 44

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-107588

Vaadin Charts fija una versión exacta de Highcharts (9.2.2 en Vaadin 22 a 24 y 12.2.0 en Vaadin 25), por lo que no se pueden quitar las vulnerabilidades actualizando Highcharts por separado. Highsoft divulgó escrituras en Object.prototype mediante rutas series.keys con puntos y cross-site scripting (XSS) mediante credits.href, breadcrumbs.style, el parseo de texto HTML al imprimir y atributos xlink:href en gráficos exportados. Afecta cuando datos controlados por un atacante llegan a la configuración del gráfico…

Productos y versiones afectadas

  • vaadin

    • desde 22.0.0 hasta antes de 23.6.16
    • desde 24.0.0 hasta antes de 24.4.24
    • desde 24.5.0 hasta antes de 24.7.16
    • desde 24.8.0 hasta antes de 24.9.23
    • desde 24.10.0 hasta antes de 24.10.11
    • desde 25.0.0 hasta 25.0.13
    • desde 25.1.0 hasta 25.1.13
    • desde 25.2.0 hasta antes de 25.2.10
    • desde 25.3.0 hasta antes de 25.3.1

  • vaadin vaadin-charts-flow

    • desde 22.0.0 hasta antes de 23.6.16
    • desde 24.0.0 hasta antes de 24.4.24
    • desde 24.5.0 hasta antes de 24.7.15
    • desde 24.8.0 hasta antes de 24.9.23
    • desde 24.10.0 hasta antes de 24.10.11
    • desde 25.0.0 hasta 25.0.13
    • desde 25.1.0 hasta 25.1.13
    • desde 25.2.0 hasta antes de 25.2.10
    • desde 25.3.0 hasta antes de 25.3.1

  • vaadin vaadin-charts-flow-svg-generator

    • desde 21.0.0 hasta antes de 23.6.16
    • desde 24.0.0 hasta antes de 24.4.24
    • desde 24.5.0 hasta antes de 24.7.15
    • desde 24.8.0 hasta antes de 24.9.23
    • desde 24.10.0 hasta antes de 24.10.11
    • desde 25.0.0 hasta 25.0.13
    • desde 25.1.0 hasta 25.1.13
    • desde 25.2.0 hasta antes de 25.2.10
    • desde 25.3.0 hasta antes de 25.3.1

  • vaadin @vaadin/charts

    • desde 22.0.0 hasta antes de 23.6.7
    • desde 24.0.0 hasta antes de 24.4.19
    • desde 24.5.0 hasta antes de 24.7.13
    • desde 24.8.0 hasta antes de 24.9.19
    • desde 24.10.0 hasta antes de 24.10.7
    • desde 25.0.0 hasta 25.0.13
    • desde 25.1.0 hasta 25.1.14
    • desde 25.2.0 hasta antes de 25.2.14
    • desde 25.3.0 hasta antes de 25.3.1

Qué hacer

  1. Verificá si usás vaadin y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.4 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Activa
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Baja
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Baja
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

Vaadin Charts renders charts with the Highcharts library and pins an exact version of it, 9.2.2 in Vaadin 22 to 24 and 12.2.0 in Vaadin 25, so an application cannot remove these vulnerabilities by upgrading Highcharts on its own. Highsoft disclosed several vulnerabilities in that library that are reachable through the chart configuration: writes to Object.prototype through dotted series.keys paths, and cross-site scripting through credits.href, through breadcrumbs.style, through HTML text parsing while printing, and through xlink:href attributes in exported charts. An application is affected where data an attacker controls reaches the chart configuration, for example through additionalOptions, through updateConfiguration(), or through text options that accept markup. The fixed Vaadin versions apply Highsoft's recommended workarounds to the bundled Highcharts when it loads, and keep the same Highcharts version. Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include: Product version Vaadin 22.0.0 - 23.6.15 Vaadin 24.0.0 - 24.4.23 Vaadin 24.5.0 - 24.7.15 Vaadin 24.8.0 - 24.9.22 Vaadin 24.10.0 - 24.10.10 Vaadin 25.0.0 - 25.2.9 Vaadin 25.3.0 Mitigation Upgrade to 23.6.16 Upgrade to 24.4.24 Upgrade to 24.7.16 Upgrade to 24.9.23 Upgrade to 24.10.11 Upgrade to 25.2.10 Upgrade to 25.3.1 or newer Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 23, 24, 25 version. Artifacts Maven coordinates / Vulnerable versions / Fixed version com.vaadin:vaadin / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin / 24.0.0 - 24.4.23 / >=24.4.24 com.vaadin:vaadin / 24.5.0 - 24.7.15 / >=24.7.16 com.vaadin:vaadin / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow-svg-generator / 21.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow-svg-generator / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow-svg-generator / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow-svg-generator / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow-svg-generator / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow-svg-generator / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.3.0 / >=25.3.1 npm packages npm package / Vulnerable versions / Fixed version @vaadin/charts / 22.0.0 - 23.6.6 / >=23.6.7 @vaadin/charts / 24.0.0 - 24.4.18 / >=24.4.19 @vaadin/charts / 24.5.0 - 24.7.12 / >=24.7.13 @vaadin/charts / 24.8.0 - 24.9.18 / >=24.9.19 @vaadin/charts / 24.10.0 - 24.10.6 / >=24.10.7 @vaadin/charts / 25.0.0 - 25.0.13 / >=25.2.14 @vaadin/charts / 25.1.0 - 25.1.14 / >=25.2.14 @vaadin/charts / 25.2.0 - 25.2.13 / >=25.2.14 @vaadin/charts / 25.3.0 / >=25.3.1

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.