CVE-2026-106153
ŚrednieCVSS 5.4Streszczenie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 szablony zawartości miesiąca w komponentach Calendar i MultiViewCalendar renderują data.url i data.title bez odpowiedniej sanityzacji URL i kodowania atrybutów HTML. Atakujący o niskich uprawnieniach kontrolujący opcję URL lub wartości tytułu pochodzące z kultury może dostarczyć adres URL JavaScript lub wstrzyknąć atrybuty obsługi zdarzeń. Gdy użytkownik wchodzi w interakcję z kalendarzem, JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.
Ocena ryzyka
Może dojść do wykonania złośliwego kodu JavaScript w przeglądarce użytkownika, co zagraża poufności i integralności danych dostępnych dla aplikacji.
Rekomendacja
Zaktualizuj Progress Kendo UI for jQuery do wersji 2026.3.1015 lub nowszej, która zawiera poprawki sanityzacji.
Inne podatności w Progress Kendo UI for jQuery
Zobacz wszystkie- CVE-2026-108116Wysokie
W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.
- CVE-2026-106151Średnie
W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.
- CVE-2026-106150Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-106149Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponent Menu konstruuje atrybuty HTML z pól dataSource poprzez konkatenację ciągów bez odpowiedniej neutralizacji. Atakujący o niskich uprawnieniach kontrolujący te pola może wstrzyknąć atrybuty obsługi zdarzeń JavaScript, które wykonają się, gdy użytkownik wchodzi w interakcję z komponentem Menu, zagrażając poufności i integralności danych dostępnych w kontekście przeglądarki użytkownika.
- CVE-2026-106163Średnie
W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.
- CVE-2026-106162Średnie
W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.
- CVE-2026-106161Średnie
W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.
- CVE-2026-106160Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.
- CVE-2026-106159Średnie
W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.
- CVE-2026-106158Średnie
W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.
Oryginalny opis (angielski, źródło NVD)
In Progress® Kendo® UI for jQuery prior to version 2026.3.1015, the Calendar and MultiViewCalendar month content templates render data.url and data.title without proper URL sanitization and HTML attribute encoding. An attacker with low privileges who can control the URL option or culture-derived title values can supply a JavaScript URL or inject event-handler attributes. When a user interacts with an affected calendar, JavaScript can execute in the user's browser context and compromise the confidentiality and integrity of accessible data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS