Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 11:36

CVE-2026-106161 Cross-site scripting en Kendo UI for jQuery mediante el binding de texto del Badge

El método text del Badge renderiza valores de cadena como HTML sin codificar, incluidos los valores provistos mediante text binding. Un atacante que modifique los datos enlazados a un Badge puede aportar HTML con manejadores de eventos que ejecutan JavaScript en el navegador de la víctima al renderizarse el valor. Corregido en la versión 2026.3.1015.

5.4MEDIA

CVSS 3.1

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Progress Software Kendo UI for jQuery

    desde 2020.1.114 hasta antes de 2026.3.1015

Qué hacer

  1. Verificá si usás Kendo UI for jQuery y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioRequerida
  • AlcanceCambiado
  • ConfidencialidadBaja
  • IntegridadBaja
  • DisponibilidadNinguna

Descripción original

In Progress® Kendo® UI for jQuery releases starting with v2020.1.114 and prior to 2026.3.1015, the Badge text method renders string values as raw HTML without encoding, including values supplied through text binding. An attacker who can modify data bound to a Badge can supply HTML containing event handlers that execute JavaScript in a user's browser when the Badge renders the value. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application. This issue is fixed in version 2026.3.1015.

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.