CVE-2026-106159
ŚrednieCVSS 4.7Streszczenie
W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.
Ocena ryzyka
Udana eksploatacja może naruszyć poufność i integralność danych dostępnych dla dotkniętej aplikacji.
Rekomendacja
Zaktualizuj Kendo UI for jQuery do wersji 2026.3.1015, w której problem został naprawiony.
Inne podatności w Progress Kendo UI for jQuery
Zobacz wszystkie- CVE-2026-108116Wysokie
W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.
- CVE-2026-106153Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 szablony zawartości miesiąca w komponentach Calendar i MultiViewCalendar renderują data.url i data.title bez odpowiedniej sanityzacji URL i kodowania atrybutów HTML. Atakujący o niskich uprawnieniach kontrolujący opcję URL lub wartości tytułu pochodzące z kultury może dostarczyć adres URL JavaScript lub wstrzyknąć atrybuty obsługi zdarzeń. Gdy użytkownik wchodzi w interakcję z kalendarzem, JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-106151Średnie
W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.
- CVE-2026-106150Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.
- CVE-2026-106149Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponent Menu konstruuje atrybuty HTML z pól dataSource poprzez konkatenację ciągów bez odpowiedniej neutralizacji. Atakujący o niskich uprawnieniach kontrolujący te pola może wstrzyknąć atrybuty obsługi zdarzeń JavaScript, które wykonają się, gdy użytkownik wchodzi w interakcję z komponentem Menu, zagrażając poufności i integralności danych dostępnych w kontekście przeglądarki użytkownika.
- CVE-2026-106163Średnie
W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.
- CVE-2026-106162Średnie
W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.
- CVE-2026-106161Średnie
W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.
- CVE-2026-106160Średnie
W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.
- CVE-2026-106158Średnie
W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.
Oryginalny opis (angielski, źródło NVD)
In Progress® Kendo® UI for jQuery versions starting with 2022.3.1109 and prior to 2026.3.1015, ToolBar ButtonGroup button URLs are concatenated into an unquoted href attribute after URL sanitization. An attacker who can control a button URL can supply an otherwise allowed HTTPS URL containing whitespace and additional attributes, including an event handler, and execute JavaScript in a user's browser when the affected button is interacted with. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application. This issue is fixed in version 2026.3.1015.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS