Kendo UI for jQuery PropertyGrid: Cross-Site-Scripting in Werten und Beschreibungen
Zusammenfassung
Kendo UI for jQuery in den Versionen 2026.3.1015 bis 2026.4.1110 kodiert gebundene Eigenschaftswerte und items[].description im PropertyGrid in der Standardkonfiguration nicht. Ein Angreifer, der diese Werte beeinflussen kann, kann JavaScript im Browser eines Benutzers ausführen, der das Grid anzeigt, und so Daten in diesem Browser-Kontext offenlegen oder verändern. Voraussetzung ist, dass der Benutzer die betroffene Seite aufruft und der Angreifer die angezeigten Daten beeinflussen kann.
Betroffen
- Kendo UI for jQuery 2026.3.1015 bis unter 2026.4.1110
- Erste betroffene Version: Unbekannt.
Behoben in
- Auf Kendo UI for jQuery 2026.4.1110 oder neuer aktualisieren.
- Die Versionshinweise des Herstellers müssen prüfen, ob 2026.4.1111 die erforderliche oder bevorzugte Version ist (widersprüchliche Angaben von Drittquellen).
Umgehung
- Kein Workaround des Herstellers gefunden.
- Bis zum Patch: gebundene PropertyGrid-items und -descriptions nicht an nicht vertrauenswürdige oder vom Benutzer bearbeitbare Daten binden, diese Werte serverseitig kodieren oder bereinigen und eine Content Security Policy in Betracht ziehen, um die Auswirkungen eingeschleuster Skripte zu begrenzen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- NVD-Status: Awaiting Analysis.
Unsere Empfehlung
- Anwendungen ermitteln, die Kendo UI for jQuery verwenden, sowie deren Versionen.
- Betroffene Versionen auf die neueste verfügbare Build-Version aktualisieren, mindestens auf 2026.4.1110, und prüfen, ob 2026.4.1111 erforderlich ist.
- Prüfen, ob PropertyGrid nicht vertrauenswürdige Daten anzeigt, und bis zum Patch serverseitige Kodierung anwenden.
- Herstellerhinweis und NVD auf Aktualisierungen prüfen, einschliesslich der ersten betroffenen Version.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Telerik security advisory CVE-2026-124694 www.telerik.com
- OffSeq Radar: CVE-2026-124694 radar.offseq.com
- VulDB 435855 (version conflict) vuldb.com
- VulDB 435862 (version conflict) vuldb.com
- Telerik jQuery support www.telerik.com
- Telerik PropertyGrid get started www.telerik.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.