Progress Telerik Report Server: Falsche Berechtigungsprüfung im Web Report Designer
Zusammenfassung
In Telerik Report Server vor Version 12.3.26.1110 prüft der Web Report Designer die Berechtigungen für geteilte Report-Ressourcen nicht korrekt. Ein authentifizierter Benutzer mit niedrigen Privilegien kann nicht autorisierte Operationen auf geteilten Reports ausführen, wodurch deren Integrität und Verfügbarkeit beeinträchtigt werden. Der Angreifer benötigt ein gültiges Konto mit niedrigen Privilegien; der CVE-Eintrag sagt nicht aus, ob ein Internetzugang erforderlich ist.
Betroffen
- Telerik Report Server Versionen vor 12.3.26.1110 (Komponente Web Report Designer)
Behoben in
- Behoben in Version 12.3.26.1110 (gemäss Herstellerhinweis)
Umgehung
- Kein Workaround des Herstellers für die Schwachstelle selbst; das Aktualisieren ist die empfohlene Massnahme.
- Nach dem Update kann ein System-Administrator unter Konfiguration > Designer > Web Report Designer die Option 'Deny shared write access to resources for users in non-administrative roles' aktivieren. Sie ist standardmässig deaktiviert.
- Die Option beschränkt Schreibzugriffe auf geteilte Ressourcen ohne hinterlegten Ersteller nicht; der Ersteller wird durch Aktivieren der Option auch nicht nachträglich zugewiesen.
Ausnutzung
- Unbekannt. Der Herstellerhinweis erwähnt keine Ausnutzung. Drittanbieter-Trackern waren zum Zeitpunkt der Recherche keine bekannte Ausnutzung und kein öffentlicher Proof-of-Concept-Code bekannt; dieser Status ist aktuell und sollte erneut geprüft werden.
Unsere Empfehlung
- Alle Telerik Report Server Instanzen und deren Versionen erfassen.
- Alle Instanzen unter 12.3.26.1110 auf Version 12.3.26.1110 oder neuer aktualisieren.
- Konten mit Zugriff auf den Report Designer prüfen und nicht benötigte Konten entfernen.
- Den Zugriff auf die Verwaltungsoberfläche von Report Server einschränken, insbesondere wenn sie aus dem Internet erreichbar ist.
- Nach dem Update die Einschränkung für Schreibzugriffe auf geteilte Ressourcen aktivieren und den CISA-KEV-Katalog sowie den Herstellerhinweis erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Telerik Report Server knowledge base: Incorrect Authorization (CVE-2026-106133) www.telerik.com
- CVE-2026-106133 tracker (threatint) cve.threatint.com
- CVE-2026-106133 tracker (OffSeq) radar.offseq.com
- SecurityWeek: Progress patches Telerik Report Server vulnerability www.securityweek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.