Kendo UI for jQuery: Cross-Site-Scripting über spriteCssClass in TabStrip, PanelBar und Menu

Zusammenfassung

Kendo UI for jQuery Versionen vor 2026.4.1111 enthalten eine Cross-Site-Scripting-Schwachstelle in den Widgets TabStrip, PanelBar und Menu, wenn ein dataSource-Feld auf spriteCssClass abgebildet wird. Kann ein Angreifer die abgebildeten Daten kontrollieren, kann er Markup einschleusen, einschliesslich Event-Handler-Attributen. Das Skript läuft im Ursprung der Anwendung, wenn ein Opfer eine Seite mit dem betroffenen Widget lädt, und kann so auf Daten und Aktionen der authentifizierten Sitzung des Opfers zugreifen.

Betroffen

• Progress Software Kendo UI for jQuery 2012.1.322 (untere Grenze nicht bestätigt) bis 2026.4.1110
• Nur Anwendungen, die ein dataSource-Feld auf spriteCssClass in diesen Widgets abbilden, sind betroffen
• Das verwandte Element CVE-2026-124687 wird durch dieselbe Version behoben

Behoben in

• Auf Kendo UI for jQuery 2026.4.1111 oder neuer aktualisieren
• Backports auf ältere Release-Zweige: Unbekannt.

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Vorläufige Massnahmen laut Recherche (nicht vom Hersteller bestätigt): Sicherstellen, dass keine benutzergelieferten Texte das Sprite-Klassenfeld erreichen, Daten serverseitig kodieren und eine Content Security Policy einsetzen, die Inline-Event-Handler einschränkt. Wirksamkeit vor dem Einsatz mit den Entwicklern prüfen.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• OffSeq führt die Schwachstelle als nicht bekanntermassen ausgenutzt.
• VulDB gibt an, dass kein Exploit existiert, und stuft die Ausnutzung als einfach ein.
• Kein öffentlicher Proof of Concept gefunden.
• Status im CISA KEV: Unbekannt (nicht geprüft).

Unsere Empfehlung

• Alle Anwendungen erfassen, die Kendo UI for jQuery verwenden, und die jQuery-Build-Version notieren.
• Auf 2026.4.1111 oder neuer aktualisieren, zuerst bei öffentlich erreichbaren Anwendungen, die von Benutzern beeinflussbare Menü-, Tab- oder Panel-Daten darstellen.
• Prüfen, ob Benutzer die abgebildeten Daten beeinflussen können, und diesen Pfad bis zur Aktualisierung entfernen.
• Die Telerik-Sicherheitsmeldung zur Bestätigung der Versionsangaben prüfen, da sie während der Recherche nicht abrufbar war.
• Logs der Webanwendung auf ungewöhnliche Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Telerik knowledge base advisory (not retrieved) www.telerik.com
• VulDB entry CVE-2026-124688 vuldb.com
• OffSeq radar CVE-2026-124688 radar.offseq.com
• threatint CVE-2026-124688 cve.threatint.com
• Telerik DropDownButton spriteCssClass documentation www.telerik.com
• Telerik TabStrip API documentation www.telerik.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:25.