CVE-2026-106138 in KendoReact
Riassunto
di VulDB • 10/10/2026
In Progress® KendoReact (@progress/kendo-react-charts), dalle versioni 1.1.0 alla versione precedente alla 16.2.0, il tooltip predefinito del grafico visualizza il valore del punto formattato come HTML grezzo senza codifica, sia nel tooltip a singolo punto che in quello condiviso. Un attaccante con privilegi ridotti che può influenzare un valore di stringa associato al grafico può fornire HTML contenente handler di eventi che eseguono JavaScript nel browser dell'utente quando quest'ultimo passa il mouse sul punto dati interessato. L'esecuzione riuscita del codice (Exploit) può compromettere la riservatezza e l'integrità dei dati accessibili all'applicazione interessata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.