何が起きたか
credits.href に javascript: URL を指定するとクリック時にスクリプトが実行される件、テキスト中の xlink:href の javascript: URL がフィルターを通りエクスポートした SVG で有効なリンクになる件、breadcrumbs.style のキーが SVG のイベントハンドラー属性になる件、series.keys や列の構築で Object.prototype に書き込まれる件がまとめて公表されました。いずれも、信頼できないデータがチャートの設定に入る場合に問題になります。
やること
使っている系列に合わせて 11.4.9、12.6.2、13.1.1 のいずれかへ更新します（xlink:href の件は 12.6.2 / 13.1.1 で修正）。CDN から読み込んでいる場合は版付きの URL を更新します。すぐ更新できない場合は、各勧告にある回避用のスクリプトを Highcharts の読み込み後、チャート作成前に実行してください。
出典
GitHub Advisory Database（GHSA-mw4f-gj5x-6xr4）github.com英語 ↗GitHub Advisory Database（GHSA-5793-x2q3-c3q7）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。