CVE-2026-13182

Alta7.5Publicada el 22 de julio de 2026

En Progress® Telerik® UI for AJAX anterior a v2026.2.708, el procesamiento de client-state de RadAsyncUpload puede distinguir los errores de descifrado de los errores de análisis de JSON no válido, creando un oráculo que revela valores de metadatos protegidos a atacantes remotos.

Puntuación CVSS7.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Tipo de debilidad (CWE)CWE-209

Fabricantesprogress

Productos afectados

Fabricantes	Producto	Versiones
progress	telerik ui for asp.net ajax	< 2026.2.708

Una cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación

Exploit público encadena padding oracle en Telerik RadAsyncUpload para RCE sin autenticación. Requiere condiciones específicas. Parchea a 2026.2.708

7 sept 202616:128 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.

Base de datos CVE

Productos afectados

Artículos relacionados

Una cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación