原文

Apache EChartsのLinesシリーズのツールチップ描画ロジックにクロスサイトスクリプティング（XSS）の脆弱性が存在します。この問題はバージョン6.1.0未満のApache EChartsに影響します。バージョン6.1.0以前では、Linesシリーズとツールチップの両方を使用し、ユーザー指定のtooltip.formatterが提供されておらず、かつseries.data[i].nameが指定されている場合、生のHTML文字列であるseries.data[i].nameがinnerHTMLを通じてツールチップのコンテンツにレンダリングされる可能性があります。ツールチップはカスタムtooltip.formatterを通じてユーザー提供の生HTMLを許可していますが、組み込みのtooltip.formatterは通常HTMLエスケープを自動的に行います。このケースはその慣例を破り、ツールチップが表示される際に予期せずスクリプトが実行される恐れがあります。ユーザーはこの問題を修正したバージョン6.1.0へアップグレードすることを推奨されます。