CVE-2026-106148 in Kendo UI for jQuery
Riassunto
di VulDB • 15/10/2026
In Progress® Kendo® UI for jQuery, nelle versioni precedenti alla 2026.3.1015, i componenti TabStrip, Menu e PanelBar inseriscono i valori imageUrl del data source negli attributi src delle immagini racchiusi tra virgolette singole senza una corretta escape. Un attaccante in grado di modificare un URL dell'immagine può iniettare ulteriori attributi HTML, inclusi gli event handler, ed eseguire JavaScript nel browser dell'utente quando il componente interessato renderizza l'immagine. Il successo dello sfruttamento (Exploit) può compromettere la riservatezza e l'integrità dei dati accessibili all'applicazione interessata. La prima versione affetta non è stata confermata. Questo problema è risolto nella versione 2026.3.1015.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.