« Volver al listado

CVE-2026-106161

Estado: En análisisMedia (5.4)—

En las versiones de Progress® Kendo® UI for jQuery a partir de la v2020.1.114 y anteriores a la 2026.3.1015, el método de texto de Badge muestra los valores de cadena como HTML sin codificar, incluidos los valores proporcionados mediante enlace de texto. Un atacante que pueda modificar los datos vinculados a un Badge puede proporcionar HTML que contenga controladores de eventos que ejecuten JavaScript en el navegador de un usuario cuando el Badge muestre el valor. La explotación con éxito puede comprometer la confidencialidad y la integridad de los datos accesibles para la aplicación afectada. Este problema está corregido en la versión 2026.3.1015.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

CWE-80 y la descripción: el método Badge renderiza texto como HTML sin codificar y los manejadores de eventos ejecutan JavaScript en el navegador, es XSS (T1189).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict Web-Based ContentUser TrainingRestrict File and Directory PermissionsRemote Data StorageNetwork SegmentationExecution Prevention

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Progress — Kendo UI FOR JqueryAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-106161",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-106161",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T18:25:41.375039Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@progress.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 5.4,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.7,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security@progress.com",
      "affectedData": [
        {
          "vendor": "Progress Software",
          "product": "Kendo UI for jQuery",
          "versions": [
            {
              "status": "affected",
              "version": "2020.1.114",
              "lessThan": "2026.3.1015",
              "versionType": "custom"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-15T14:17:14.843",
  "references": [
    {
      "url": "https://www.telerik.com/kendo-jquery-ui/documentation/knowledge-base/kb-security-badge-text-xss-cve-2026-106161",
      "source": "security@progress.com"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@progress.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-80"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Progress® Kendo® UI for jQuery releases starting with v2020.1.114 and prior to 2026.3.1015, the Badge text method renders string values as raw HTML without encoding, including values supplied through text binding. An attacker who can modify data bound to a Badge can supply HTML containing event handlers that execute JavaScript in a user's browser when the Badge renders the value. Successful exploitation can compromise the confidentiality and integrity of data accessible to the affected application. This issue is fixed in version 2026.3.1015."
    }
  ],
  "lastModified": "2026-10-15T19:17:18.173",
  "sourceIdentifier": "security@progress.com"
}