CVE-2026-106159 Cross-site scripting en Kendo UI for jQuery mediante URLs de ButtonGroup del ToolBar

Qué es CVE-2026-106159

Las URLs de los botones de ButtonGroup del ToolBar se concatenan en un atributo href sin comillas después de la sanitización de la URL. Un atacante que controle una URL de botón puede aportar una URL HTTPS permitida con espacios y atributos adicionales, incluido un manejador de eventos, y ejecutar JavaScript en el navegador de la víctima al interactuar con el botón. Corregido en la versión 2026.3.1015.

Productos y versiones afectadas

• Progress Software Kendo UI for jQuery

  • desde 2022.3.1109 hasta antes de 2026.3.1015

Qué hacer

1. Verificá si usás Kendo UI for jQuery y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.7 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

In Progress® Kendo® UI for jQuery versions starting with 2022.3.1109 and prior to 2026.3.1015, ToolBar ButtonGroup button URLs are concatenated into an unquoted href attribute after URL sanitization. An attacker who can control a button URL can supply an otherwise allowed HTTPS URL containing whitespace and additional attributes, including an event handler, and execute JavaScript in a user's browser when the affected button is interacted with. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application. This issue is fixed in version 2026.3.1015.

Referencias

• www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-toolbar-buttongr…VENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 11:36VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.