Telerik Report Server: Externe Steuerung der Konfiguration erlaubt Kontoübernahme
Zusammenfassung
Telerik Report Server vor Version 12.3.26.1110 erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, die Server-Adresse zu beeinflussen, die die Anwendung beim Erstellen von Links und Benachrichtigungen verwendet. Wenn ein Benutzer mit einem manipulierten Link oder einer manipulierten Benachrichtigung interagiert, können sensible Informationen offengelegt und Konten übernommen werden. Der CVSS-Wert beträgt 8.8 (hoch).
Betroffen
- Progress Telerik Report Server vor 12.3.26.1110
- Eingebettetes Telerik Reporting ist nicht betroffen.
- Ob ältere Release-Zweige (z. B. 12.2.x) betroffen sind, ist unbekannt.
Behoben in
- Auf Telerik Report Server 12.3.26.1110 oder neuer aktualisieren.
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme.
- Internetzugriff auf den Server sperren, bis die Patches eingespielt sind.
- Nach dem Update prüfen, ob die Server-URL in der Report-Server-Konfiguration die korrekte öffentliche Adresse enthält, und diese bei Bedarf explizit setzen.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine aktive Ausnutzung bekannt.
- Nicht im CISA-KEV-Katalog; kein öffentlicher Exploit gefunden.
- Die CVE wurde am 11. November 2026 veröffentlicht, daher kann sich dieser Status rasch ändern.
Unsere Empfehlung
- Alle Telerik-Report-Server-Instanzen und deren genaue Versionen inventarisieren, einschliesslich älterer Zweige.
- Auf 12.3.26.1110 oder neuer aktualisieren und danach die Server-URL-Einstellung prüfen.
- Bis zur Aktualisierung den externen Zugriff auf den Server einschränken.
- Prüfen, ob SMTP- und Link-Generierungseinstellungen unerwartet verändert wurden.
- Admin- und Benutzerkonten auf Anzeichen einer Kompromittierung prüfen, insbesondere nach Phishing-Versuchen.
- CVE-2026-106133 ebenfalls patchen, das in derselben Version behoben ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Telerik KB: CVE-2026-106152 (vendor advisory) www.telerik.com
- Offseq Radar: CVE-2026-106152 radar.offseq.com
- ThreatInt: CVE-2026-106152 cve.threatint.com
- Telerik Report Server security best practices www.telerik.com
- Offseq Radar: CVE-2026-106133 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.