CVE-2019-18935

CRITICAL9.8Publiée le 11 décembre 2019

Progress Telerik UI for ASP.NET AJAX through 2019.3.1023 contains a .NET deserialization vulnerability in the RadAsyncUpload function. This is exploitable when the encryption keys are known due to the presence of CVE-2017-11317 or CVE-2017-11357, or other means. Exploitation can result in remote code execution. (As of 2020.1.114, a default setting prevents the exploit. In 2019.3.1023, but not earlier versions, a non-default setting can prevent exploitation.)

Activement exploitée

Dans le catalogue CISA des vulnérabilités exploitées depuis le 3 nov. 2021
Les agences fédérales américaines doivent la corriger avant le 3 mai 2022 (BOD 22-01)
Première attaque observée 147 jours après la divulgation
Confirmée par des capteurs, pas seulement par des signalements
Utilisée dans des campagnes de rançongiciel

Apply updates per vendor instructions.

Source : CISA KEV · 20 août 2026 20 août 2026 26 juil. 2026 17 juil. 2026 15 juil. 2026 14 juil. 2026

Score CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-502, CWE-502

Éditeurstelerik

Produits concernés

Éditeurs	Prodotto	Versioni
telerik	ui for asp.net ajax	<= 2020.1.114

Articles liés

SPECTRE, la backdoor che spegne gli EDR: dentro l’arsenale di UAT-10147

APT

SPECTRE, la backdoor qui désactive les EDR : dans l’arsenal de UAT-10147

Découvrez SPECTRE, backdoor multiplateforme désactivant les EDR, utilisée par UAT-10147 contre des serveurs Windows et Linux mondialement.

24 août 20268 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE