CVE-2026-106138 Cross-site scripting (XSS) en el tooltip de Chart de KendoReact

Qué es CVE-2026-106138

En KendoReact (@progress/kendo-react-charts) desde la versión 1.1.0 y anterior a 16.2.0, el tooltip predeterminado de Chart renderiza el valor formateado como HTML sin codificar, tanto en el tooltip de un punto como en el compartido. Un atacante con bajos privilegios que pueda influir en un valor de cadena enlazado al gráfico puede inyectar HTML con manejadores de eventos que ejecutan JavaScript en el navegador de la víctima al pasar el cursor sobre el punto afectado. Corrige la versión 16.2.0.

Productos y versiones afectadas

• Progress Software KendoReact

  • desde 1.1.0 hasta antes de 16.2.0

Qué hacer

1. Verificá si usás KendoReact y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

In Progress® KendoReact (@progress/kendo-react-charts) starting with version 1.1.0 and prior to 16.2.0, the default Chart tooltip renders the formatted point value as raw HTML without encoding, in both the single-point and the shared tooltip. An attacker with low privileges who can influence a string value bound to the chart can supply HTML containing event handlers that execute JavaScript in a user's browser when the user hovers over the affected data point. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application.

Referencias

• www.telerik.com/kendo-react-ui/components/knowledge-base/kb-security-chart-tooltip-xss-cv…VENDOR-ADVISORY

Historial de la alerta

1. 10 OCT · 07:46VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.