CVE-2026-106149

W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 szablony zawartości miesiąca w komponentach Calendar i MultiViewCalendar renderują data.url i data.title bez odpowiedniej sanityzacji URL i kodowania atrybutów HTML. Atakujący o niskich uprawnieniach kontrolujący opcję URL lub wartości tytułu pochodzące z kultury może dostarczyć adres URL JavaScript lub wstrzyknąć atrybuty obsługi zdarzeń. Gdy użytkownik wchodzi w interakcję z kalendarzem, JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.

W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.

W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.

W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.