Kendo UI for jQuery: Cross-Site Scripting in ActionSheet-Kopfzeilenbeschriftungen
Zusammenfassung
Kendo UI for jQuery in den Versionen 2026.3.1014 bis vor 2026.4.1110 kodiert die Werte für Titel, Untertitel und Beschriftungen der Kopfzeilenschaltflächen der Komponente ActionSheet vor der Darstellung nicht. Ein Angreifer, der diese Werte beeinflussen kann, kann Markup einschleusen, das als JavaScript ausgeführt wird, sobald ein Benutzer das ActionSheet öffnet. Das Skript läuft im Browserkontext des Opfers und kann die Vertraulichkeit und Integrität der dort verfügbaren Daten gefährden.
Betroffen
- Kendo UI for jQuery 2026.3.1014 bis vor 2026.4.1110
- Die erste betroffene Version ist nicht bekannt; 2026.3.1014 ist die im Bericht genannte Version.
Behoben in
- Auf Kendo UI for jQuery 2026.4.1110 oder neuer aktualisieren. Version 2026.4.1111 oder neuer deckt auch die verwandte Schwachstelle CVE-2026-124688 ab.
Umgehung
- Laut Herstellerhinweis gibt es keine weiteren Massnahmen oder Workarounds (nicht gegen die Herstellerseite verifiziert).
- Unsichere Werte für Titel, Untertitel und Schaltflächenbeschriftungen kodieren oder bereinigen, bevor sie an das ActionSheet übergeben werden.
- Eine Content Security Policy kann die Auswirkungen eingeschleusten Skripts begrenzen, ist aber keine verifizierte Behebung dieses Problems.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt.
- Öffentlicher Proof-of-Concept: keiner bekannt.
- Benutzerinteraktion erforderlich: Ein Benutzer muss das ActionSheet öffnen. Es sind keine Berechtigungen oder Authentifizierung nötig.
Unsere Empfehlung
- Prüfen, ob von KMU entwickelte Webanwendungen oder Produkte von Drittanbietern Kendo UI for jQuery enthalten, und die eingesetzte Version ermitteln.
- Auf 2026.4.1111 oder neuer aktualisieren.
- Bis zur Behebung sicherstellen, dass Titel, Untertitel und Schaltflächenbeschriftungen des ActionSheets keine unsicheren Daten enthalten.
- Die Version anhand des Herstellerhinweises verifizieren, da das npm-Paket-Label 2026.3.1015 im betroffenen Bereich liegt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Telerik security advisory CVE-2026-124689 www.telerik.com
- OffSeq Radar: CVE-2026-124689 radar.offseq.com
- OffSeq Radar: CVE-2026-124688 (fixed in 2026.4.1111) radar.offseq.com
- VulDB entry 435862 vuldb.com
- Snyk package page @progress/kendo-ui security.snyk.io
- Telerik security information www.telerik.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.