Kendo UI for jQuery: Code-Injection über kendo.init() in Data-Attributen

Zusammenfassung

Kendo UI for jQuery verarbeitet Werte von data-*-Attributen mit new Function, wenn kendo.init() ein ungültiges JSON-Objekt erhält. Ein Angreifer mit niedrigen Berechtigungen, der diese Attributwerte steuern kann, kann JavaScript einschleusen, das im Browser eines Benutzers ausgeführt wird, der die betroffene Seite lädt oder damit interagiert. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit und Integrität von Daten im Browserkontext des Benutzers gefährden; die Verfügbarkeit ist nicht betroffen.

Betroffen

• Kendo UI for jQuery von 2022.3.1109 bis vor 2026.4.1111 (gemäss CVE-Eintrag)
• Die erste betroffene Version ist nicht bestimmt; ältere Versionen können ebenfalls betroffen sein.

Behoben in

• Auf Kendo UI for jQuery 2026.4.1111 oder neuer aktualisieren.

Umgehung

• Dem Hersteller ist kein Workaround bekannt.
• Nicht verifiziert: Eine restriktive Content Security Policy ohne 'unsafe-eval' könnte den eingeschleusten Code blockieren. Vor einer Verwendung testen.
• Die Schreibrechte auf data-*-Attribute einschränken und benutzergenerierten HTML-Inhalt bereinigen, bevor er in Kendo-Markup gelangt.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Keine bekannte Ausnutzung in freier Wildbahn gefunden; der Status im CISA-KEV-Katalog wurde nicht geprüft.
• NVD-Status zum Zeitpunkt der Recherche: Awaiting Analysis.

Unsere Empfehlung

• Alle Kendo-UI-for-jQuery-Instanzen und deren Versionen inventarisieren, einschliesslich gebündelter Kopien in Drittanwendungen.
• Auf 2026.4.1111 oder neuer aktualisieren; ältere Versionen als betroffen behandeln.
• Prüfen, ob nicht vertrauenswürdige Benutzer data-*-Attribute oder von Kendo UI dargestellten Markup schreiben können, und diese Anwendungen priorisieren.
• Das Telerik-Advisory und den NVD-Eintrag in einigen Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Telerik Security Advisory CVE-2026-124686 www.telerik.com
• CVE Record CVE-2026-124686 www.cve.org
• OffSeq Radar CVE-2026-124686 radar.offseq.com
• Snyk kendo-ui-core package security.snyk.io
• Telerik CSP support feedback feedback.telerik.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:21.