Kendo UI for jQuery: Cross-Site Scripting in DropDownButton und SplitButton-Elementen

Zusammenfassung

Kendo UI for jQuery in den Versionen ab 2022.2.621 vor 2026.4.1111 erlaubt die Injektion von Markup über die Attribute id und target der Elemente von DropDownButton und SplitButton. Ein Angreifer, der diese Elementwerte beeinflussen kann, kann die Attribute verlassen und HTML inklusive Event-Handler einschleusen, die im Browser des Opfers als Script ausgeführt werden. Die Ausnutzung erfordert eine Benutzerinteraktion, der realistische Angriffsweg führt über eine Webanwendung, die diese Menüs aus unsicheren Daten aufbaut.

Betroffen

• Kendo UI for jQuery ab 2022.2.621 bis vor 2026.4.1111
• Komponenten: DropDownButton und SplitButton
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)

Behoben in

• Auf Kendo UI for jQuery 2026.4.1111 oder neuer aktualisieren
• Backport-Status für ältere Versionszweige: Unbekannt.

Umgehung

• Keine Workaround des Herstellers in den zugänglichen Quellen gefunden. Massnahmen im Advisory des Herstellers prüfen.
• Bis zur Aktualisierung sicherstellen, dass Elementbeschriftungen, ids und targets nie aus unsicheren Eingaben aufgebaut werden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Laut OffSeq nicht als ausgenutzt bekannt; kein Eintrag im CISA KEV gefunden (nicht abschliessend).
• VulDB gibt an, dass kein Exploit verfügbar ist, technische Details sind jedoch bekannt. Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob intern oder extern betriebene Webanwendungen, inklusive vom Anbieter erstellter Produkte, Kendo UI for jQuery im betroffenen Bereich verwenden.
• Auf 2026.4.1111 oder neuer aktualisieren; bei eingebetteter Bibliothek beim Drittanbieter den Update-Zeitplan erfragen.
• Bis zur Aktualisierung sicherstellen, dass Menüelementwerte nicht aus benutzergesteuerten Eingaben stammen.
• Internetfähige Anwendungen mit sensitiven Sitzungen und Admin-Oberflächen priorisieren.
• Hinweis: Der CVSS-Wert 7.1 stammt vom CNA; VulDB bewertet mit 4.3 und nutzt CWE-79. Exakte Fix-Hinweise im Herstellerhinweis prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record reference: Telerik KB on DropDownButton and SplitButton XSS www.telerik.com
• CVE-2026-124687 details (threatint) cve.threatint.com
• VulDB entry 435855 vuldb.com
• OffSeq radar: CVE-2026-124687 radar.offseq.com
• Kendo UI for jQuery SplitButton API reference www.telerik.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:24.