- Yama var
- Son 7 gün
- CWE-79
CVE-2026-94402
IBM Carbon Charts MeterChart bileşeninde başlık kırpma nedeniyle siteler arası betik çalıştırma (XSS) açığı
IBM @carbon/chartsIBM @carbon/charts-angularIBM @carbon/charts-react
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- ibm
ÖzetTürkçe
IBM Carbon Charts 0.4.0 ile 1.27.19 arasındaki sürümler siteler arası betik çalıştırma (XSS) açığından etkilenmektedir. MeterChart bileşenindeki Title.truncateTitle fonksiyonu, başlık mevcut kap genişliğini aştığında kullanıcı tarafından sağlanan etiket metninin bir alt dizisini, temizlenmemiş bir innerHTML yazımıyla DOM'a yeniden eklemektedir. Uzak bir saldırgan bu açığı kullanarak kurbanın tarayıcı oturumunda rastgele JavaScript kodu çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
IBM Carbon Charts 0.4.0 through 1.27.19 is vulnerable to cross-site scripting. The MeterChart component's Title.truncateTitle() function re-inserts a substring of user-supplied label text into the DOM via an unsanitized innerHTML write when the title exceeds the available container width. A remote attacker could exploit this vulnerability to execute arbitrary JavaScript in the victim's browser session.
Üreticinin çözüm notu (İngilizce)
Please update the library to the latest version available on npm: https://www.npmjs.com/package/@carbon/charts
Üreticinin geçici önlemi (İngilizce)
If an immediate upgrade to v1.27.20 is not possible, consuming applications should sanitize all user-influenced strings before passing them as data[0].group (or any label field) to a MeterChart. A DOMPurify call with ALLOWED_TAGS: [] applied to the value before it reaches the chart data will neutralize the payload. This is a temporary workaround only — upgrading to v1.27.20 remains the recommended remediation.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler5 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM @carbon/charts | ≥ 0.4.0, ≤ 1.27.19 | – |
| IBM @carbon/charts-angular | ≥ 0.4.0, ≤ 1.27.19 | – |
| IBM @carbon/charts-react | ≥ 0.4.0, ≤ 1.27.19 | – |
| IBM @carbon/charts-svelte | ≥ 0.4.0, ≤ 1.27.19 | – |
| IBM @carbon/charts-vue | ≥ 0.4.0, ≤ 1.27.19 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.