Options構造体がフィルタリングされずに渡されると、クロスサイトスクリプティング (Cross-site Scripting) の脆弱性につながる可能性があります

この脆弱性を悪用されると、攻撃者はHighchartsのチャート設定に悪意のあるHTMLコードを挿入できます。useHTMLフラグが有効になっている場合、このコードはそのままDOMに挿入され、ユーザーのブラウザで実行されます。攻撃者は、このコードを使用して、ユーザーのCookieを盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、ユーザーの代わりにアクションを実行したりする可能性があります。特に、信頼できないソースからのチャート設定を使用している場合、この脆弱性のリスクは高まります。HTMLエンティティの置き換えなどの手法を用いて、useHTMLがfalseの場合でも悪意のあるコードを挿入することが可能です。

1. 予約済み2021-03-30
2. 公開日2021-05-06
3. 更新日2026-03-13
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Highchartsをバージョン9.0.0以降にアップデートすることです。アップデートできない場合は、信頼できないソースからのチャート設定の使用を避けるようにしてください。WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御することも有効です。また、入力値のサニタイズやエスケープ処理を徹底し、悪意のあるHTMLコードがチャート設定に挿入されないようにする必要があります。Highchartsのチャート設定を静的な設定ファイルから読み込む、または事前にフィルタリングされたHTMLのみを使用するように構成することで、リスクを軽減できます。