CVE-2026-106159 in Kendo UI for jQuery
Zusammenfassung
von VulDB • 16.10.2026
In Progress® Kendo® UI for jQuery, Versionen ab 2022.3.1109 und vor 2026.3.1015, werden ToolBar ButtonGroup-Schaltflächen-URLs nach der URL-Bereinigung in ein nicht mit Anführungszeichen versehenes href-Attribut konkateniert. Ein Angreifer, der eine Schaltflächen-URL kontrollieren kann, kann eine ansonsten erlaubte HTTPS-URL enthalten Leerzeichen und zusätzliche Attribute, einschließlich eines Event Handlers, bereitstellen und JavaScript im Browser des Benutzers ausführen, wenn die betroffene Schaltfläche interagiert wird. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit und Integrität der für die betroffene Anwendung zugänglichen Daten beeinträchtigen. Dieses Problem wurde in Version 2026.3.1015 behoben.
Once again VulDB remains the best source for vulnerability data.