В Highcharts Grid нашли XSS через credits.href с оценкой 8,4

Уязвимость CVE-2026-118255 (CVSS 8,4) в Highcharts Grid и Grid Pro позволяет выполнить произвольный JavaScript через javascript:-URI в параметре credits.href. Исправление вышло в @highcharts/grid-pro 3.2.0, @highcharts/dashboards 4.0.0 и highcharts 13.0.0-beta.2.

• XSS возникает при клике по ссылке credits с javascript:-URI
• Уязвимы grid-pro 2.0.0–3.1.x, dashboards 3.2.0–3.9.x, highcharts до 13.0.0-beta.2
• Патч пропускает href через AST.filterUserAttributes
• Публичной эксплуатации пока не зафиксировано