« Volver al listado

CVE-2026-106160

Estado: En análisisMedia (5.4)—

En Progress® Kendo® UI for jQuery anterior a 2026.3.1015, Model.accept pasa las claves de la respuesta del servidor a kendo.setter sin proteger las rutas de objeto no seguras que contienen __proto__, constructor o prototype. Un atacante que pueda suministrar datos aceptados por un modelo afectado puede modificar los atributos del prototipo de objetos e influir en el comportamiento de la aplicación, lo que podría comprometer la confidencialidad y la integridad de los datos de la aplicación. El impacto depende de cómo la aplicación utilice los objetos modificados, incluido en escenarios de JavaScript del lado del servidor. No se ha confirmado la versión más antigua afectada. Este problema está corregido en la versión 2026.3.1015.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector exige interacción del usuario (UI:R) y privilegios bajos; la contaminación de prototipos altera datos y comportamiento de la aplicación, con impacto en confidencialidad e integridad, sin ejecución de comandos descrita.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict File and Directory PermissionsRemote Data StorageNetwork SegmentationEncrypt Sensitive InformationApplication Isolation and SandboxingExploit Protection

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Progress — Kendo UI FOR JqueryAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-106160",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-106160",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T18:26:04.383770Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@progress.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 5.4,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.7,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security@progress.com",
      "affectedData": [
        {
          "vendor": "Progress Software",
          "product": "Kendo UI for jQuery",
          "versions": [
            {
              "status": "affected",
              "version": "2023.1.117",
              "lessThan": "2026.3.1015",
              "versionType": "custom"
            },
            {
              "status": "unaffected",
              "version": "2026.3.1015"
            }
          ],
          "defaultStatus": "unknown"
        }
      ]
    }
  ],
  "published": "2026-10-15T14:17:14.727",
  "references": [
    {
      "url": "https://www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-model-accept-prototype-pollution-cve-2026-106160",
      "source": "security@progress.com"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@progress.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-1321"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Progress® Kendo® UI for jQuery prior to 2026.3.1015, Model.accept passes server-response keys to kendo.setter without guarding against unsafe object paths containing __proto__, constructor, or prototype. An attacker who can supply data accepted by an affected model can modify object prototype attributes and influence application behavior, potentially compromising the confidentiality and integrity of application data. The impact depends on how the application uses the modified objects, including in server-side JavaScript scenarios. The earliest affected version has not been confirmed. This issue is fixed in version 2026.3.1015."
    }
  ],
  "lastModified": "2026-10-15T19:17:18.040",
  "sourceIdentifier": "security@progress.com"
}