CVE-2026-106160 Contaminación de prototipo en Kendo UI for jQuery mediante Model.accept y kendo.setter

Qué es CVE-2026-106160

Model.accept pasa claves de la respuesta del servidor a kendo.setter sin protegerse contra rutas de objeto inseguras que contienen __proto__, constructor o prototype. Un atacante que aporte datos aceptados por un modelo afectado puede modificar atributos del prototipo de objetos e influir en el comportamiento de la aplicación, con posible compromiso de la confidencialidad e integridad de los datos. Corregido en la versión 2026.3.1015.

Productos y versiones afectadas

• Progress Software Kendo UI for jQuery

  • desde 2023.1.117 hasta antes de 2026.3.1015

Qué hacer

1. Verificá si usás Kendo UI for jQuery y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

In Progress® Kendo® UI for jQuery prior to 2026.3.1015, Model.accept passes server-response keys to kendo.setter without guarding against unsafe object paths containing __proto__, constructor, or prototype. An attacker who can supply data accepted by an affected model can modify object prototype attributes and influence application behavior, potentially compromising the confidentiality and integrity of application data. The impact depends on how the application uses the modified objects, including in server-side JavaScript scenarios. The earliest affected version has not been confirmed. This issue is fixed in version 2026.3.1015.

Referencias

• www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-model-accept-pro…VENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 11:36VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.