Telerik Report Server: Gespeichertes Cross-Site Scripting in Web-Berichtsanzeigen
Zusammenfassung
Telerik Report Server in Versionen vor 12.2.26.1007 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in der gemeinsam genutzten Berichtsengine und in den Web-Berichtsanzeigen. Ein authentifizierter Berichtsautor kann javascript:- oder vbscript:-URLs in Navigationsaktionen oder HTML-Textfeld-Links einbetten. Wenn ein anderer Benutzer den Bericht öffnet und den Link auslöst, wird vom Angreifer kontrolliertes Skript im Ursprung der Berichtsanzeige ausgeführt. In Umgebungen mit mehreren Benutzern kann dies genutzt werden, um Aktionen in der Sitzung eines Administrators auszuführen und Rechte zu erweitern.
Betroffen
- Telerik Report Server in Versionen vor 12.2.26.1007
Behoben in
- Version 12.2.26.1007 oder neuer (Herstellerkorrektur; genaue Build-Nummer in der Wissensdatenbank des Herstellers prüfen)
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; der Hersteller empfiehlt ein Update.
Ausnutzung
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00199 (niedrig).
- Ausnutzung in freier Wildbahn: nicht bestätigt (ein nicht verifizierter Drittanbieter-Hinweis).
Unsere Empfehlung
- Auf Version 12.2.26.1007 oder neuer aktualisieren, so rasch wie möglich.
- Bis zum Patch prüfen, wer Berichte erstellen oder bearbeiten kann, und bestehende Berichte auf javascript:- oder vbscript:-Links kontrollieren.
- Administratorkonten nach Möglichkeit auf dedizierte Admin-Sitzungen beschränken.
- CVE-2026-106145 (gleiche Korrekturversion) gleichzeitig patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Telerik KB: Stored Cross-site Scripting in Telerik Report Server Web Report Viewers (CVE-2026-106155) www.telerik.com
- Strix: CVE-2026-106155 www.strix.ai
- VulDB: CVE-2026-106155 vuldb.com
- Vulners: RAPID7 CVE-2026-106155 (EPSS) vulners.com
- ComponentSource: Telerik Report Server releases www.componentsource.com
- Telerik report-server-docs pull request 326 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.