Kendo UI for jQuery: Cross-Site-Scripting bei der Bereinigung benutzerdefinierter SVG-Icons

Zusammenfassung

In Kendo UI for jQuery parst die Funktion sanitizeSvgContent() benutzerdefinierten Icon-Markup in ein aktives DOM, bevor sie ihn filtert. Ein Angreifer, der benutzerdefinierte Icon-Inhalte beeinflussen kann, kann JavaScript während der Erstellung des Icons ausführen, bevor das unsichere Element entfernt wird. Der CVSS-Wert beträgt 7.1 (hoch); für die Ausnutzung ist eine Benutzerinteraktion sowie eine Änderung des Schutzbereichs nötig.

Betroffen

• Kendo UI for jQuery 2026.3.1015 bis (ausschliesslich) 2026.4.1110 (gemäss OffSeq und CVE-Programm; der Hersteller hat die erste betroffene Version nicht bestätigt)
• Ältere Versionen: Unbekannt.
• Kendo UI Core (kendo-ui-core): Unbekannt.

Behoben in

• Auf Kendo UI for jQuery 2026.4.1110 oder neuer aktualisieren.

Umgehung

• Dem Hersteller ist keine Workaround-Lösung bekannt.
• Bis zur Aktualisierung keine benutzerdefinierten Icon-Markups von nicht vertrauenswürdigen Benutzern oder externen Quellen an die Icon-Funktion übergeben.
• Eine strikte Content Security Policy als zusätzlichen Schutz in Betracht ziehen.

Ausnutzung

• Gemäss OffSeq nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Prüfen, ob interne oder kundenseitige Webanwendungen Kendo UI for jQuery verwenden und ob sie benutzerdefinierte Icon-Inhalte von Benutzern oder externen Quellen akzeptieren.
• Internetseitig erreichbare und mehrbenutzerfähige Anwendungen priorisieren.
• Zusammen mit den übrigen Kendo-UI-Korrekturen derselben Version auf 2026.4.1110 aktualisieren (CVE-2026-124688, -124689, -124692, -124693).
• Den Aktualisierungsstand bei Entwicklern oder Softwareanbietern erfragen und die Herstellerhinweise sowie NVD auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Telerik security advisory (KB) www.telerik.com
• OffSeq threat radar entry radar.offseq.com
• OpenCVE app.opencve.io
• CIRCL vulnerability recent list vulnerability.circl.lu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:22.