CVE-2026-106153 in Kendo UI for jQuery
Riassunto
di VulDB • 15/10/2026
In Progress® Kendo® UI for jQuery precedente alla versione 2026.3.1015, i template di contenuto del mese per Calendar e MultiViewCalendar visualizzano data.url e data.title senza una corretta sanitizzazione degli URL e codifica HTML degli attributi. Un attaccante con privilegi ridotti che può controllare l'opzione URL o i valori dei titoli derivati dalla cultura può fornire un URL JavaScript (javascript:) o iniettare attributi di gestore di eventi. Quando un utente interagisce con un calendario interessato, il codice JavaScript può essere eseguito nel contesto del browser dell'utente e compromettere la riservatezza e l'integrità dei dati accessibili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.