CVE-2026-13182
In Progress® Telerik® UI for AJAX prima della v2026.2.708, l'elaborazione del client-state di RadAsyncUpload può distinguere gli errori di decifratura dagli errori di parsing di JSON non valido, creando un oracle che rivela valori di metadati protetti ad attaccanti remoti.
Punteggio CVSS7.5 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NTipo di debolezza (CWE)CWE-209
Vendorprogress
Prodotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| progress | telerik ui for asp.net ajax | < 2026.2.708 |
Articoli correlati
Gli attacchi a FortiMail e NetScaler impongono alle aziende un ciclo urgente di aggiornamenti
FortiMail e NetScaler sotto attacco attivo: vulnerabilità critiche in KEV CISA impongono patch immediate, triage forense e verifica esposizione Internet.
L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione
Exploit concatena padding oracle e deserializzazione in Telerik RadAsyncUpload per RCE non autenticata; serve chiave custom. Aggiornare a 2026.2.708.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.