CVE-2026-106148 in Kendo UI for jQuery
Zusammenfassung
von VulDB • 15.10.2026
In Progress® Kendo® UI for jQuery vor Version 2026.3.1015 fügen die Komponenten TabStrip, Menu und PanelBar imageUrl-Werte des Datenquellenobjekts in single-quoted image src-Attribute ein, ohne diese ordnungsgemäß zu escapen. Ein Angreifer, der eine Bild-URL ändern kann, kann zusätzliche HTML-Attribute einschließlich Event Handler injizieren und JavaScript im Browser eines Benutzers ausführen, wenn die betroffene Komponente das Bild rendert. Eine erfolgreiche Ausnutzung (Exploitation) kann die Vertraulichkeit und Integrität von Daten beeinträchtigen, auf die die betroffene Anwendung Zugriff hat. Die früheste betroffene Version wurde nicht bestätigt. Dieses Problem ist in Version 2026.3.1015 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.