CVE-2026-106151 in Kendo UI for jQuery
要約
〜によって VulDB • 2026年10月15日
In Progress® Kendo® UI for jQueryのバージョン2012.2.710以降で、かつ2026.3.1015より前のバージョンにおいて、Validatorはdata-msg-*属性から検証メッセージをデコードし、その結果得られたテキストをHTMLとして解析します。検証メッセージを変更できる攻撃者は、ユーザーが検証を実行した際に、ページ属性内で正しくエスケープされていたHTMLがイベントハンドラを含むアクティブなマークアップに変換される原因となります。この脆弱性を悪用されると、ユーザーのブラウザでJavaScriptが実行され、影響を受けるアプリケーションにアクセス可能なデータの機密性および整合性が損なわれます。本問題はバージョン2026.3.1015で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.