CVE-2026-13181

WysokieCVSS 8.1

Opublikowano: 22/07/2026(UTC)Zaktualizowano: 06/08/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W Progress Telerik UI for AJAX (przed v2026.2.708) sfałszowane metadane przesyłania wpływają na przetwarzanie AsyncUploadTypeName, umożliwiając niebezpieczne rozpoznawanie typów.

Ocena ryzyka

Atakujący może zdalnie wykonać kod, co prowadzi do pełnego przejęcia aplikacji.

Rekomendacja

Zaktualizuj Progress Telerik UI for AJAX do wersji v2026.2.708 lub nowszej.

Inne podatności w Progress Telerik UI for AJAX

Zobacz wszystkie

CVE-2026-6023Wysokie
W kontrolce RadFilter w wersjach 2024.4.1114 do 2026.1.421 produktu Progress® Telerik® UI for AJAX występuje podatność na niebezpieczną deserializację podczas przywracania stanu filtra, jeśli stan ten jest dostępny dla klienta.
CVE-2026-13190Wysokie
Podatność deserializacji w Progress Telerik UI for AJAX (przed v2026.2.708) pozwala na niebezpieczne tworzenie instancji typów z danych stanu kontrolowanych przez atakującego.
CVE-2026-13189Wysokie
W Progress Telerik UI for AJAX przed wersją 2026.2.708, niewystarczająca walidacja parametru języka w obsłudze sprawdzania pisowni może pozwolić atakującemu na wpływanie na rozdzielczość ścieżek plików po stronie serwera i wywołanie niechcianych żądań serwerowych.
CVE-2026-13185Wysokie
W Progress Telerik UI for AJAX (przed v2026.2.708) aplikacje używające cookie-based storage w RadPersistenceManager lub RadDockLayout deserializują dane cookie kontrolowane przez atakującego.

Oryginalny opis (angielski, źródło NVD)

In Progress® Telerik® UI for AJAX prior to v2026.2.708, forged upload metadata can influence AsyncUploadTypeName processing and trigger unsafe attacker-controlled type resolution, enabling remote code execution in affected deployments.