« Volver al listado

CVE-2026-106153

Estado: En análisisMedia (5.4)—

En Progress® Kendo® UI para jQuery anterior a la versión 2026.3.1015, las plantillas de contenido de mes de Calendar y MultiViewCalendar muestran data.url y data.title sin una depuración adecuada de la URL ni una codificación adecuada de los atributos HTML. Un atacante con privilegios bajos que pueda controlar la opción URL o los valores de título derivados de la cultura puede proporcionar una URL de JavaScript o inyectar atributos de controladores de eventos. Cuando un usuario interactúa con un calendario afectado, JavaScript puede ejecutarse en el contexto del navegador del usuario y comprometer la confidencialidad e integridad de los datos accesibles.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

CWE-79 y vector UI:R: data.url y data.title se renderizan sin sanitizar, permitiendo JavaScript en el navegador al interactuar el usuario con el calendario.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict Web-Based ContentUser TrainingExecution PreventionBehavior Prevention on EndpointDisable or Remove Feature or ProgramApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Progress — Kendo UI FOR JqueryAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-106153",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-106153",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T18:24:38.962227Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@progress.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 5.4,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.7,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security@progress.com",
      "affectedData": [
        {
          "vendor": "Progress Software",
          "product": "Kendo UI for jQuery",
          "versions": [
            {
              "status": "affected",
              "version": "2011.3.1007",
              "lessThan": "2026.3.1015",
              "versionType": "custom"
            }
          ],
          "defaultStatus": "unknown"
        }
      ]
    }
  ],
  "published": "2026-10-15T15:17:22.307",
  "references": [
    {
      "url": "https://www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-calendar-month-template-xss-cve-2026-106153",
      "source": "security@progress.com"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@progress.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Progress® Kendo® UI for jQuery prior to version 2026.3.1015, the Calendar and MultiViewCalendar month content templates render data.url and data.title without proper URL sanitization and HTML attribute encoding. An attacker with low privileges who can control the URL option or culture-derived title values can supply a JavaScript URL or inject event-handler attributes. When a user interacts with an affected calendar, JavaScript can execute in the user's browser context and compromise the confidentiality and integrity of accessible data."
    }
  ],
  "lastModified": "2026-10-15T19:17:17.563",
  "sourceIdentifier": "security@progress.com"
}