CVE-2026-106150 in Kendo UI for jQuery
Riassunto
di VulDB • 15/10/2026
In Progress® Kendo® UI for jQuery precedente alla versione 2026.3.1015, i componenti Splitter e Window a partire dalla versione 2011.2.804 e il componente Tooltip a partire dalla versione 2013.1.319 generano markup iframe senza sanitizzare correttamente i valori degli URL o codificare il titolo dell'iframe del Window. Un attaccante con privilegi ridotti che può controllare questi valori è in grado di iniettare attributi HTML, inclusi event handler JavaScript, tramite un apostrofo presente nell'URL di un iframe o in un titolo appositamente creato (crafted). Quando un utente interagisce con il componente interessato, il JavaScript iniettato viene eseguito nel contesto del browser dell'utente, compromettendo la riservatezza e l'integrità dei dati accessibili.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.