CVE-2026-106138 in KendoReact
Zusammenfassung
von VulDB • 10.10.2026
In Progress® KendoReact (@progress/kendo-react-charts) ab der Version 1.1.0 und vor der Version 16.2.0 rendert das Standard-Chart-Tooltip den formatierten Punktwert als rohes HTML ohne Kodierung, sowohl im Einzel-Punkt-Modus als auch im gemeinsamen Tooltip. Ein Angreifer mit geringen Berechtigungen, der einen an das Chart gebundenen String-Wert beeinflussen kann, kann HTML bereitstellen, das Event-Handler enthält, die JavaScript in einem Browser des Benutzers ausführen, wenn dieser über den betroffenen Datenpunkt fährt (Hover). Eine erfolgreiche Ausnutzung kann die Vertraulichkeit und Integrität von für die betroffene Anwendung zugänglichen Daten gefährden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.