PT-2026-42882 · Apache · Apache Echarts

Lakshmikanthan K · Publicado 2026-05-23 · Atualizado 2026-05-28 · CVE-2026-45249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Apache ECharts versões anteriores a 6.1.0

Descrição Um problema de cross-site scripting (XSS) existe na lógica de renderização de tooltip da série Lines. Quando a série Lines e o tooltip são utilizados sem um tooltip.formatter especificado pelo usuário, e o series.data[i].name é fornecido, strings HTML brutas em series.data[i].name podem ser renderizadas através de um sink innerHTML no conteúdo do tooltip. Embora os tooltips normalmente permitam HTML bruto via formatadores personalizados, os formatadores integrados geralmente realizam a escape de HTML automaticamente; no entanto, este caso específico falha ao fazê-lo, podendo levar à execução de scripts quando os tooltips são exibidos.

Recomendações Atualizar para a versão 6.1.0.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-45249

Produtos afetados

Apache Echarts

Referências · 11

• https://github.com/apache/echarts/pull/21608 · Correção
• https://echarts.apache.org/handbook/en/best-practices/security/#passing_raw_html_safely · Nota
• https://t.me/cveNotify/165007 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2026/05/23/4 · Nota
• https://twitter.com/oss_security/status/2058078741520077250 · Publicação no Twitter
• https://t.me/CVEtracker/54838 · Publicação no Telegram
• https://echarts.apache.org/en/option.html#series-lines · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-45249 · Nota de Segurança
• https://twitter.com/CVEnew/status/2058935278849360226 · Publicação no Twitter
• https://lists.apache.org/thread/1g6xk7gd9vg1c6zyqqt2lnko10zomc3o · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/2059079319146938582 · Publicação no Twitter