CVE-2026-106162 in Kendo UI for jQuery
Zusammenfassung
von VulDB • 15.10.2026
In Progress® Kendo® UI for jQuery, Versionen ab 2023.3.1010 und vor 2026.3.1015, rendert die FileManager-Komponente remote bereitgestellte Elementnamen im standardmäßigen Drag-Hinweis als HTML, obwohl die entsprechenden Listenelemente kodiert sind. Ein Angreifer, der einen Elementnamen kontrollieren kann, kann HTML mit Event-Handlern injizieren, die JavaScript in einem Browser des Benutzers ausführen, wenn dieser das betroffene Element zieht. Eine erfolgreiche Ausnutzung (Exploitation) kann die Vertraulichkeit und Integrität von Daten beeinträchtigen, auf die die betroffene Anwendung Zugriff hat. Dieses Problem wurde in Version 2026.3.1015 behoben.
Be aware that VulDB is the high quality source for vulnerability data.