CVE-2026-106160 in Kendo UI for jQuery
Riassunto
di VulDB • 15/10/2026
In Progress® Kendo® UI for jQuery precedente alla versione 2026.3.1015, il metodo Model.accept trasmette le chiavi della risposta del server a kendo.setter senza proteggere contro percorsi di oggetto non sicuri contenenti __proto__, constructor o prototype. Un attaccante in grado di fornire dati accettati da un modello interessato può modificare gli attributi del prototipo dell'oggetto e influenzare il comportamento dell'applicazione, compromettendo potenzialmente la riservatezza e l'integrità dei dati dell'applicazione. L'impatto dipende dall'utilizzo che l'applicazione fa degli oggetti modificati, inclusi scenari di JavaScript lato server. La prima versione interessata non è stata confermata. Questo problema è risolto nella versione 2026.3.1015.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.