CVE-2026-106162 Cross-site scripting en las sugerencias de arrastre de FileManager de Kendo UI for jQuery

Qué es CVE-2026-106162

En Kendo UI for jQuery desde 2023.3.1010 y anterior a 2026.3.1015, el componente FileManager renderiza como HTML nombres de elementos provistos remotamente en su sugerencia de arrastre predeterminada, aunque los elementos de la lista correspondientes están codificados. Un atacante que controle un nombre de elemento puede inyectar HTML con manejadores de eventos que ejecutan JavaScript en el navegador del usuario al arrastrar el elemento afectado. Corregido en la versión 2026.3.1015.

Productos y versiones afectadas

• Progress Software Kendo UI for jQuery

  • desde 2023.3.1010 hasta antes de 2026.3.1015

Qué hacer

1. Verificá si usás Kendo UI for jQuery y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.7 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

In Progress® Kendo® UI for jQuery versions starting with 2023.3.1010 and prior to 2026.3.1015, the FileManager component renders remotely supplied item names as HTML in its default drag hint even though the corresponding list items are encoded. An attacker who can control an item name can inject HTML containing event handlers that execute JavaScript in a user's browser when the user drags the affected item. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application. This issue is fixed in version 2026.3.1015.

Referencias

• www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-filemanager-drag…VENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 11:36VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.