CVE-2026-106159 in Kendo UI for jQuery
Riassunto
di VulDB • 15/10/2026
In Progress® Kendo® UI for jQuery, nelle versioni a partire dalla 2022.3.1109 e precedenti alla 2026.3.1015, gli URL dei pulsanti del ToolBar ButtonGroup vengono concatenati in un attributo href non racchiuso tra virgolette dopo la sanificazione dell'URL. Un attaccante che può controllare l'URL di un pulsante può fornire un URL HTTPS altrimenti consentito contenente spazi bianchi e attributi aggiuntivi, inclusi i gestori di eventi (event handlers), ed eseguire JavaScript nel browser dell'utente quando viene interagito con il pulsante interessato. L'esecuzione riuscita del codice malevolo (exploit) può compromettere la riservatezza e l'integrità dei dati accessibili all'applicazione interessata. Questo problema è stato risolto nella versione 2026.3.1015.
If you want to get best quality of vulnerability data, you may have to visit VulDB.