CVE-2026-107588

Vaadin Charts, diaqramları Highcharts kitabxanası ilə render edir və onun dəqiq versiyasını sabitləyir (Vaadin 22-dən 24-ə qədər 9.2.2, Vaadin 25-də isə 12.2.0), buna görə də tətbiq Highcharts-i müstəqil şəkildə yeniləyərək bu boşluqları aradan qaldıra bilmir. Highsoft həmin kitabxanada diaqram konfiqurasiyası vasitəsilə əlçatan olan bir neçə zəifliyi açıqlayıb: nöqtəli series.keys yolları vasitəsilə Object.prototype-a yazma, həmçinin credits.href, breadcrumbs.style, çap zamanı HTML mətninin təhlili və ixrac edilmiş diaqramlardakı xlink:href atributları vasitəsilə saytlararası skriptinq (XSS). Hücumçunun nəzarət etdiyi məlumatlar diaqram konfiqurasiyasına çatdıqda — məsələn, additionalOptions, updateConfiguration() və ya markap qəbul edən mətn seçimləri vasitəsilə — tətbiq risk altında olur. Düzəldilmiş Vaadin versiyaları, daxil edilmiş Highcharts yükləndikdə Highsoft-un tövsiyə etdiyi müvəqqəti həll yollarını tətbiq edir və eyni Highcharts versiyasını saxlayır. Təsirə məruz qalan versiyalardan istifadə edənlər aşağıdakı yumşaltma tədbirlərini görməli və ya yeniləməni həyata keçirməlidirlər. Bu problemin düzəldildiyi buraxılışlara aşağıdakılar daxildir: Məhsul versiyası Vaadin 22.0.0 - 23.6.15 Vaadin 24.0.0 - 24.4.23 Vaadin 24.5.0 - 24.7.15 Vaadin 24.8.0 - 24.9.22 Vaadin 24.10.0 - 24.10.10 Vaadin 25.0.0 - 25.2.9 Vaadin 25.3.0 Yumşaltma 23.6.16 versiyasına yeniləyin 24.4.24 versiyasına yeniləyin 24.7.16 versiyasına yeniləyin 24.9.23 versiyasına yeniləyin 24.10.11 versiyasına yeniləyin 25.2.10 versiyasına yeniləyin 25.3.1 və ya daha yeni versiyaya yeniləyin Nəzərə alın ki, Vaadin 10-13 və 15-22 versiyaları artıq dəstəklənmir və siz ya ən son 23, 24 və ya 25 versiyasına yeniləməlisiniz. Artefaktlar Maven koordinatları / Zəif versiyalar / Düzəldilmiş versiya com.vaadin:vaadin / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin / 24.0.0 - 24.4.23 / >=24.4.24 com.vaadin:vaadin / 24.5.0 - 24.7.15 / >=24.7.16 com.vaadin:vaadin / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow-svg-generator / 21.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow-svg-generator / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow-svg-generator / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow-svg-generator / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow-svg-generator / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow-svg-generator / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.3.0 / >=25.3.1 npm paketləri npm paketi / Zəif versiyalar / Düzəldilmiş versiya @vaadin/charts / 22.0.0 - 23.6.6 / >=23.6.7 @vaadin/charts / 24.0.0 - 24.4.18 / >=24.4.19 @vaadin/charts / 24.5.0 - 24.7.12 / >=24.7.13 @vaadin/charts / 24.8.0 - 24.9.18 / >=24.9.19 @vaadin/charts / 24.10.0 - 24.10.6 / >=24.10.7 @vaadin/charts / 25.0.0 - 25.0.13 / >=25.2.14 @vaadin/charts / 25.1.0 - 25.1.14 / >=25.2.14 @vaadin/charts / 25.2.0 - 25.2.13 / >=25.2.14 @vaadin/charts / 25.3.0 / >=25.3.1