CVE-2026-13184

Alta7.5Publicada el 22 de julio de 2026

En Progress® Telerik® UI for AJAX anterior a v2026.2.708, cuando Telerik.Upload.ConfigurationHashKey está ausente y machineKey no está configurado explícitamente, la protección de integridad de los metadatos de carga puede revertir a una clave predeterminada predecible, permitiendo a los atacantes falsificar metadatos de carga protegidos y desbloquear nuevas cadenas de explotación.

Puntuación CVSS7.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Tipo de debilidad (CWE)CWE-321

Fabricantesprogress

Productos afectados

Fabricantes	Producto	Versiones
progress	telerik ui for asp.net ajax	< 2026.2.708

Una cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación

Exploit público encadena padding oracle en Telerik RadAsyncUpload para RCE sin autenticación. Requiere condiciones específicas. Parchea a 2026.2.708

7 sept 202616:128 min de lecturaLeer

This product uses the NVD API but is not endorsed or certified by the NVD.

La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.

Base de datos CVE

Productos afectados

Artículos relacionados

Una cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación