CVE-2026-106147 in Kendo UI for jQuery
Zusammenfassung
von VulDB • 15.10.2026
In Progress® Kendo® UI for jQuery-Versionen ab R1 2020 und vor 2026.3.1015 wird die Standard-Item-Vorlage der ListBox den an dataTextField gebundenen Wert als rohes HTML ohne Kodierung gerendert. Ein Angreifer, der die gebundenen Daten ändern kann, kann HTML mit Event-Handlern bereitstellen, das JavaScript im Browser eines Benutzers ausführt, wenn das betroffene Listenelement gerendert wird. Eine erfolgreiche Ausnutzung (Exploit) kann die Vertraulichkeit und Integrität von für die betroffene Anwendung zugänglichen Daten beeinträchtigen. Dieses Problem wurde in Version 2026.3.1015 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.