Highcharts: `credits.href` に指定された `javascript:` URL がクリックされた際にスクリプトが実行される。
### 影響
`credits.href` の値が `javascript:` で始まる場合、クレジットラベルがクリックされると、その値がウィンドウの場所として設定されます。この際、許可されたスキームのリストに対するチェックが行われません。そのため、チャートの設定を制御する攻撃者は、チャートをホストしているページのオリジンでスクリプトを実行できる可能性があります。この脆弱性を悪用するには、信頼できないデータがチャートの設定に到達し、ユーザーがクレジットラベルをクリックする必要があります。Highcharts Stock、Maps、Gantt で作成されたチャートも影響を受ける可能性があります。なぜなら、これらは Highcharts Core と同じパッケージに含まれているからです。
### 対策
以下の修正を、影響を受けるすべてのバージョン (5.0.0-13.0.2) に適用できます。
Highcharts がロードされた後、チャートが作成される前に、以下の IIFE (Immediately Invoked Function Expression) を追加します。
```js
!function(t){if(t&&t.Chart&&!t.Chart.prototype.creditsHrefPatched){var r=t.Chart.prototype,e=r.addCredits;r.addCredits=function(n){var o=t.merge(!0,this.options.credits,n);return o&&o.href&&!c(o.href)&&delete o.href,e.call(this,o)},r.creditsHrefPatched=!0}function c(r){var e=t.AST&&t.AST.allowedReferences||["https://","http://","mailto:","/","../","./","#"];return"string"==typeof r&&e.some(function(t){return 0===r.indexOf(t)})}}(Highcharts);
```
[デモとテスト](https://jsfiddle.net/BlackLabel/6a09ws1f/)
### 修正版の入手方法
修正版は、通常の配布チャネルから入手できます。npm を使用している場合は、影響を受けるパッケージを上記の修正版にアップグレードします。例えば、`npm install highcharts@13.1.0` です。Highcharts を CDN からロードしている場合は、code.highcharts.com のバージョン付きの URL を使用します。例えば、`https://code.highcharts.com/13.1.0/highcharts.js` です。各インストール方法の詳細については、[インストールガイド](https://www.highcharts.com/docs/getting-started/installation) を参照してください。
影響を受けるパッケージ：
- npm (JavaScript) highcharts: 影響を受けるバージョンは 11.4.9 未満、修正されたバージョンは 11.4.9
- npm (JavaScript) highcharts: 影響を受けるバージョンは 12.0.0 以上、12.6.1 未満、修正されたバージョンは 12.6.1
- npm (JavaScript) highcharts: 影響を受けるバージョンは 13.0.0 以上、13.0.2 以下、修正されたバージョンは 13.1.0