CVE-2026-13190
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność deserializacji w Progress Telerik UI for AJAX (przed v2026.2.708) pozwala na niebezpieczne tworzenie instancji typów z danych stanu kontrolowanych przez atakującego.
Ocena ryzyka
Może to prowadzić do zdalnego wykonania kodu, co daje atakującemu pełną kontrolę nad aplikacją.
Rekomendacja
Zaktualizuj Progress Telerik UI for AJAX do wersji v2026.2.708 lub nowszej.
Inne podatności w Progress Telerik UI for AJAX
Zobacz wszystkie- CVE-2026-6023Wysokie
W kontrolce RadFilter w wersjach 2024.4.1114 do 2026.1.421 produktu Progress® Telerik® UI for AJAX występuje podatność na niebezpieczną deserializację podczas przywracania stanu filtra, jeśli stan ten jest dostępny dla klienta.
- CVE-2026-13189Wysokie
W Progress Telerik UI for AJAX przed wersją 2026.2.708, niewystarczająca walidacja parametru języka w obsłudze sprawdzania pisowni może pozwolić atakującemu na wpływanie na rozdzielczość ścieżek plików po stronie serwera i wywołanie niechcianych żądań serwerowych.
- CVE-2026-13185Wysokie
W Progress Telerik UI for AJAX (przed v2026.2.708) aplikacje używające cookie-based storage w RadPersistenceManager lub RadDockLayout deserializują dane cookie kontrolowane przez atakującego.
- CVE-2026-13181Wysokie
W Progress Telerik UI for AJAX (przed v2026.2.708) sfałszowane metadane przesyłania wpływają na przetwarzanie AsyncUploadTypeName, umożliwiając niebezpieczne rozpoznawanie typów.
Oryginalny opis (angielski, źródło NVD)
In Progress® Telerik® UI for AJAX prior to v2026.2.708, a deserialization vulnerability in the persistence utilities allows unsafe type instantiation from attacker-influenced persisted state, which can lead to remote code execution.