CVE-2019-18935
Progress Telerik UI for ASP.NET AJAX hasta 2019.3.1023 contiene una vulnerabilidad de deserialización .NET en la función RadAsyncUpload. Es explotable cuando las claves de cifrado se conocen debido a la presencia de CVE-2017-11317 o CVE-2017-11357, u otros medios. La explotación puede dar como resultado la ejecución remota de código. (A partir de 2020.1.114, una configuración predeterminada impide el exploit. En 2019.3.1023, pero no en versiones anteriores, una configuración no predeterminada puede impedir la explotación.)
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 3 nov 2021
- Las agencias federales de EE. UU. deben corregirla antes del 3 may 2022 (BOD 22-01)
- Primer ataque observado 147 días después de la divulgación
- Confirmada por sensores, no solo por informes
- Utilizada en campañas de ransomware
Apply updates per vendor instructions.
Fuente: CISA KEV · 28 sept 2026 28 sept 2026 27 sept 2026 25 sept 2026 17 sept 2026 15 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| telerik | ui for asp.net ajax | <= 2020.1.114 |
Artículos relacionados
Una cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación
Exploit público encadena padding oracle en Telerik RadAsyncUpload para RCE sin autenticación. Requiere condiciones específicas. Parchea a 2026.2.708
SPECTRE, la backdoor que apaga los EDR: dentro del arsenal de UAT-10147
Recientemente, Cisco Talos publicó un análisis en dos partes sobre el grupo de habla china UAT-10147 , activo contra servidores web Windows y Linux a
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.