CVE-2026-107588

Vaadin Charts, grafikleri Highcharts kütüphanesi ile oluşturur ve bu kütüphanenin belirli bir sürümünü sabitler (Vaadin 22 ila 24 sürümlerinde 9.2.2 ve Vaadin 25 sürümünde 12.2.0); bu nedenle bir uygulama, Highcharts'ı kendi başına yükselterek bu güvenlik açıklarını gideremez. Highsoft, söz konusu kütüphanede grafik yapılandırması üzerinden erişilebilen birkaç güvenlik açığı açıklamıştır: noktalı series.keys yolları aracılığıyla Object.prototype üzerine yazmalar; credits.href, breadcrumbs.style, yazdırma sırasında HTML metin ayrıştırma ve dışa aktarılan grafiklerdeki xlink:href öznitelikleri aracılığıyla siteler arası betik çalıştırma (XSS). Bir saldırganın kontrol ettiği verilerin, örneğin additionalOptions, updateConfiguration() veya işaretleme kabul eden metin seçenekleri aracılığıyla grafik yapılandırmasına ulaştığı uygulamalar etkilenmektedir. Düzeltilmiş Vaadin sürümleri, beraberinde gelen Highcharts yüklenirken Highsoft tarafından önerilen geçici çözümleri uygular ve aynı Highcharts sürümünü korur. Etkilenen sürümlerin kullanıcıları aşağıdaki hafifletme önlemini uygulamalı veya yükseltme yapmalıdır. Bu sorunun düzeltildiği sürümler şunlardır: Ürün sürümü Vaadin 22.0.0 - 23.6.15 Vaadin 24.0.0 - 24.4.23 Vaadin 24.5.0 - 24.7.15 Vaadin 24.8.0 - 24.9.22 Vaadin 24.10.0 - 24.10.10 Vaadin 25.0.0 - 25.2.9 Vaadin 25.3.0 Hafifletme 23.6.16 sürümüne yükseltin 24.4.24 sürümüne yükseltin 24.7.16 sürümüne yükseltin 24.9.23 sürümüne yükseltin 24.10.11 sürümüne yükseltin 25.2.10 sürümüne yükseltin 25.3.1 veya daha yeni bir sürüme yükseltin Lütfen Vaadin 10-13 ve 15-22 sürümlerinin artık desteklenmediğini ve en güncel 23, 24 veya 25 sürümüne güncellemeniz gerektiğini unutmayın. Artifaktlar Maven koordinatları / Etkilenen sürümler / Düzeltilen sürüm com.vaadin:vaadin / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin / 24.0.0 - 24.4.23 / >=24.4.24 com.vaadin:vaadin / 24.5.0 - 24.7.15 / >=24.7.16 com.vaadin:vaadin / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow / 22.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow / 25.3.0 / >=25.3.1 com.vaadin:vaadin-charts-flow-svg-generator / 21.0.0 - 23.6.15 / >=23.6.16 com.vaadin:vaadin-charts-flow-svg-generator / 24.0.0 - 24.4.22 / >=24.4.24 com.vaadin:vaadin-charts-flow-svg-generator / 24.5.0 - 24.7.14 / >=24.7.15 com.vaadin:vaadin-charts-flow-svg-generator / 24.8.0 - 24.9.22 / >=24.9.23 com.vaadin:vaadin-charts-flow-svg-generator / 24.10.0 - 24.10.10 / >=24.10.11 com.vaadin:vaadin-charts-flow-svg-generator / 25.0.0 - 25.0.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.1.0 - 25.1.13 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.2.0 - 25.2.9 / >=25.2.10 com.vaadin:vaadin-charts-flow-svg-generator / 25.3.0 / >=25.3.1 npm paketleri npm paketi / Etkilenen sürümler / Düzeltilen sürüm @vaadin/charts / 22.0.0 - 23.6.6 / >=23.6.7 @vaadin/charts / 24.0.0 - 24.4.18 / >=24.4.19 @vaadin/charts / 24.5.0 - 24.7.12 / >=24.7.13 @vaadin/charts / 24.8.0 - 24.9.18 / >=24.9.19 @vaadin/charts / 24.10.0 - 24.10.6 / >=24.10.7 @vaadin/charts / 25.0.0 - 25.0.13 / >=25.2.14 @vaadin/charts / 25.1.0 - 25.1.14 / >=25.2.14 @vaadin/charts / 25.2.0 - 25.2.13 / >=25.2.14 @vaadin/charts / 25.3.0 / >=25.3.1