CVE-2019-18935
Progress Telerik UI for ASP.NET AJAX jusqu'à la version 2019.3.1023 contient une vulnérabilité de désérialisation .NET dans la fonction RadAsyncUpload. Elle est exploitable lorsque les clés de chiffrement sont connues en raison de la présence de CVE-2017-11317 ou CVE-2017-11357, ou par d'autres moyens. L'exploitation peut entraîner une exécution de code à distance. (À partir de 2020.1.114, un paramètre par défaut empêche l'exploit. Dans 2019.3.1023, mais pas dans les versions antérieures, un paramètre non par défaut peut empêcher l'exploitation.)
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 3 nov. 2021
- Les agences fédérales américaines doivent la corriger avant le 3 mai 2022 (BOD 22-01)
- Première attaque observée 147 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
- Utilisée dans des campagnes de rançongiciel
Apply updates per vendor instructions.
Source : CISA KEV · 28 sept. 2026 28 sept. 2026 27 sept. 2026 25 sept. 2026 17 sept. 2026 15 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| telerik | ui for asp.net ajax | <= 2020.1.114 |
Articles liés
L’exploit public de Telerik RadAsyncUpload enchaîne un oracle de padding jusqu’à l’exécution de code à distance sans authentification
Exploit Telerik RadAsyncUpload : oracle de padding AES-CBC menant à une RCE sans authentification. Conditions, CVE et patch 2026.2.708.
SPECTRE, la backdoor qui désactive les EDR : dans l’arsenal de UAT-10147
Découvrez SPECTRE, backdoor multiplateforme désactivant les EDR, utilisée par UAT-10147 contre des serveurs Windows et Linux mondialement.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.