- Yama var
- Son 7 gün
- CWE-79
- CWE-1321
CVE-2026-107588
Vaadin Charts ile gelen Highcharts kütüphanesinde birden fazla güvenlik açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- Vaadin
ÖzetTürkçe
Vaadin Charts, grafikleri Highcharts kütüphanesiyle oluşturur ve bu kütüphanenin tam bir sürümünü sabitler; Vaadin 22 ila 24'te 9.2.2, Vaadin 25'te ise 12.2.0 sürümüdür. Bu nedenle bir uygulama, Highcharts'ı kendi başına yükselterek bu güvenlik açıklarını gideremez. Highsoft, grafik yapılandırması üzerinden erişilebilen birkaç güvenlik açığını duyurmuştur: series.keys noktalı yollarıyla Object.prototype üzerine yazma, credits.href, breadcrumbs.style, yazdırma sırasında HTML metin ayrıştırması ve dışa aktarılan grafiklerdeki xlink:href öznitelikleri üzerinden siteler arası betik çalıştırma (XSS). Bir saldırganın kontrol ettiği verinin grafik yapılandırmasına ulaşması durumunda uygulama etkilenir; örneğin additionalOptions, updateConfiguration veya işaretleme kabul eden metin seçenekleri üzerinden. Düzeltilmiş Vaadin sürümleri, yüklenme sırasında paketlenmiş Highcharts'a Highsoft'un önerdiği geçici çözümleri uygular ve Highcharts sürümünü değiştirmez. Etkilenen sürümleri kullanan kullanıcılar, aşağıdaki geçici çözümü uygulamalı veya sürümü yükseltmelidir. Düzeltilmiş sürümler: Vaadin 22.0.0 - 23.6.15 için 23.6.16'ya, 24.0.0 - 24.4.23 için 24.4.24'e, 24.5.0 - 24.7.15 için 24.7.16'ya, 24.8.0 - 24.9.22 için 24.9.23'e, 24.10.0 - 24.10.10 için 24.10.11'e, 25.0.0 - 25.2.9 için 25.2.10'a, 25.3.0 için 25.3.1 veya daha yenisine yükseltilmelidir. Vaadin 10-13 ve 15-22 sürümleri artık desteklenmemektedir; bu nedenle en son 23, 24 veya 25 sürümüne güncellenmelidir. Geçici çözüm olarak, uygulamanın kontrol etmediği verileri grafik yapılandırmasına aktarmayın. Bu kapsama, <vaadin-chart> ve <vaadin-chart-series> öğelerinin additionalOptions özelliği, updateConfiguration ve configuration özelliği, PlotOptions sınıflarındaki setKeys ve addKey, Credits.setUnsafeHref ile Title.setText, Subtitle.setText, eksen etiketleri, veri etiketleri ve ipucu biçimleri gibi işaretleme kabul eden metin seçenekleri girer. Yapılandırmasını uygulamanın kendisinin oluşturduğu grafikler etkilenmez.
Kaynaktaki açıklama (İngilizce)
Vaadin Charts renders charts with the Highcharts library and pins an exact version of it, 9.2.2 in Vaadin 22 to 24 and 12.2.0 in Vaadin 25, so an application cannot remove these vulnerabilities by upgrading Highcharts on its own. Highsoft disclosed several vulnerabilities in that library that are reachable through the chart configuration: writes to Object.prototype through dotted series.keys paths, and cross-site scripting through credits.href, through breadcrumbs.style, through HTML text parsing while printing, and through xlink:href attributes in exported charts. An application is affected where data an attacker controls reaches the chart configuration, for example through additionalOptions, through updateConfiguration(), or through text options that accept markup. The fixed Vaadin versions apply Highsoft's recommended workarounds to the bundled Highcharts when it loads, and keep the same Highcharts version.
Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include:
Product version
Vaadin 22.0.0 - 23.6.15
Vaadin 24.0.0 - 24.4.23
Vaadin 24.5.0 - 24.7.15
Vaadin 24.8.0 - 24.9.22
Vaadin 24.10.0 - 24.10.10
Vaadin 25.0.0 - 25.2.9
Vaadin 25.3.0
Mitigation
Upgrade to 23.6.16
Upgrade to 24.4.24
Upgrade to 24.7.16
Upgrade to 24.9.23
Upgrade to 24.10.11
Upgrade to 25.2.10
Upgrade to 25.3.1 or newer
Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 23, 24, 25 version.
Artifacts
Maven coordinates / Vulnerable versions / Fixed version
com.vaadin:vaadin / 22.0.0 - 23.6.15 / >=23.6.16
com.vaadin:vaadin / 24.0.0 - 24.4.23 / >=24.4.24
com.vaadin:vaadin / 24.5.0 - 24.7.15 / >=24.7.16
com.vaadin:vaadin / 24.8.0 - 24.9.22 / >=24.9.23
com.vaadin:vaadin / 24.10.0 - 24.10.10 / >=24.10.11
com.vaadin:vaadin / 25.0.0 - 25.0.13 / >=25.2.10
com.vaadin:vaadin / 25.1.0 - 25.1.13 / >=25.2.10
com.vaadin:vaadin / 25.2.0 - 25.2.9 / >=25.2.10
com.vaadin:vaadin / 25.3.0 / >=25.3.1
com.vaadin:vaadin-charts-flow / 22.0.0 - 23.6.15 / >=23.6.16
com.vaadin:vaadin-charts-flow / 24.0.0 - 24.4.22 / >=24.4.24
com.vaadin:vaadin-charts-flow / 24.5.0 - 24.7.14 / >=24.7.15
com.vaadin:vaadin-charts-flow / 24.8.0 - 24.9.22 / >=24.9.23
com.vaadin:vaadin-charts-flow / 24.10.0 - 24.10.10 / >=24.10.11
com.vaadin:vaadin-charts-flow / 25.0.0 - 25.0.13 / >=25.2.10
com.vaadin:vaadin-charts-flow / 25.1.0 - 25.1.13 / >=25.2.10
com.vaadin:vaadin-charts-flow / 25.2.0 - 25.2.9 / >=25.2.10
com.vaadin:vaadin-charts-flow / 25.3.0 / >=25.3.1
com.vaadin:vaadin-charts-flow-svg-generator / 21.0.0 - 23.6.15 / >=23.6.16
com.vaadin:vaadin-charts-flow-svg-generator / 24.0.0 - 24.4.22 / >=24.4.24
com.vaadin:vaadin-charts-flow-svg-generator / 24.5.0 - 24.7.14 / >=24.7.15
com.vaadin:vaadin-charts-flow-svg-generator / 24.8.0 - 24.9.22 / >=24.9.23
com.vaadin:vaadin-charts-flow-svg-generator / 24.10.0 - 24.10.10 / >=24.10.11
com.vaadin:vaadin-charts-flow-svg-generator / 25.0.0 - 25.0.13 / >=25.2.10
com.vaadin:vaadin-charts-flow-svg-generator / 25.1.0 - 25.1.13 / >=25.2.10
com.vaadin:vaadin-charts-flow-svg-generator / 25.2.0 - 25.2.9 / >=25.2.10
com.vaadin:vaadin-charts-flow-svg-generator / 25.3.0 / >=25.3.1
npm packages
npm package / Vulnerable versions / Fixed version
@vaadin/charts / 22.0.0 - 23.6.6 / >=23.6.7
@vaadin/charts / 24.0.0 - 24.4.18 / >=24.4.19
@vaadin/charts / 24.5.0 - 24.7.12 / >=24.7.13
@vaadin/charts / 24.8.0 - 24.9.18 / >=24.9.19
@vaadin/charts / 24.10.0 - 24.10.6 / >=24.10.7
@vaadin/charts / 25.0.0 - 25.0.13 / >=25.2.14
@vaadin/charts / 25.1.0 - 25.1.14 / >=25.2.14
@vaadin/charts / 25.2.0 - 25.2.13 / >=25.2.14
@vaadin/charts / 25.3.0 / >=25.3.1
Üreticinin çözüm notu (İngilizce)
Users of affected versions should apply the following mitigation or upgrade.
Üreticinin geçici önlemi (İngilizce)
Do not pass data the application does not control to the chart configuration. That covers the additionalOptions property of <vaadin-chart> and <vaadin-chart-series>, updateConfiguration() and the configuration property, setKeys() and addKey() on the PlotOptions classes, Credits.setUnsafeHref(), and the text options that accept markup such as Title.setText(), Subtitle.setText(), axis labels, data labels and tooltip formats. Charts whose configuration the application builds itself are not affected.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @vaadin/charts | ≥ 22.0.0, < 23.6.7 | 23.6.7 |
| ≥ 24.0.0, < 24.4.19 | 24.4.19 | |
| ≥ 24.5.0, < 24.7.13 | 24.7.13 | |
| ≥ 24.8.0, < 24.9.19 | 24.9.19 | |
| ≥ 24.10.0, < 24.10.7 | 24.10.7 | |
| ≥ 25.0.0, ≤ 25.0.13 | – | |
| ≥ 25.1.0, ≤ 25.1.14 | – | |
| ≥ 25.2.0, < 25.2.14 | 25.2.14 | |
| ≥ 25.3.0, < 25.3.1 | 25.3.1 | |
| vaadin | ≥ 22.0.0, < 23.6.16 | 23.6.16 |
| ≥ 24.0.0, < 24.4.24 | 24.4.24 | |
| ≥ 24.5.0, < 24.7.16 | 24.7.16 |
ve 24 satır daha
Kaynaklar27 kaynak
- CVE.org kaydı
- NVD kaydı
- vaadin.com/security/cve-2026-107588 Diğer
- github.com/…charts/security/advisories/GHSA-rmqc-xvr3-v46c Diğer
- github.com/…charts/security/advisories/GHSA-5793-x2q3-c3q7 Diğer
- github.com/…charts/security/advisories/GHSA-35rr-xwfh-x789 Diğer
- github.com/…charts/security/advisories/GHSA-65hg-cf3f-5m39 Diğer
- github.com/…charts/security/advisories/GHSA-mw4f-gj5x-6xr4 Diğer
- github.com/…charts/security/advisories/GHSA-gfvx-2c2g-38wq Diğer
- github.com/vaadin/web-components/pull/12886 Diğer
- github.com/vaadin/web-components/pull/12887 Diğer
- github.com/vaadin/web-components/pull/12897 Diğer
- github.com/vaadin/web-components/pull/12898 Diğer
- github.com/vaadin/web-components/pull/12899 Diğer
- github.com/vaadin/web-components/pull/12900 Diğer
- github.com/vaadin/web-components/pull/12901 Diğer
- github.com/vaadin/web-components/pull/12918 Diğer
- github.com/vaadin/web-components/pull/12919 Diğer
- github.com/vaadin/flow-components/pull/10283 Diğer
- github.com/vaadin/flow-components/pull/10284 Diğer
- github.com/vaadin/flow-components/pull/10285 Diğer
- github.com/vaadin/flow-components/pull/10290 Diğer
- github.com/vaadin/flow-components/pull/10291 Diğer
- github.com/vaadin/flow-components/pull/10292 Diğer
- github.com/vaadin/flow-components/pull/10293 Diğer
- github.com/vaadin/flow-components/pull/10299 Diğer
- github.com/vaadin/flow-components/pull/10300 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.