CVE-2026-13182

Alta7.5Pubblicata il 22 luglio 2026

In Progress® Telerik® UI for AJAX prima della v2026.2.708, l'elaborazione del client-state di RadAsyncUpload può distinguere gli errori di decifratura dagli errori di parsing di JSON non valido, creando un oracle che rivela valori di metadati protetti ad attaccanti remoti.

Punteggio CVSS7.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Tipo di debolezza (CWE)CWE-209

Vendorprogress

Prodotti coinvolti

Vendor	Prodotto	Versioni
progress	telerik ui for asp.net ajax	< 2026.2.708

L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione

Exploit concatena padding oracle e deserializzazione in Telerik RadAsyncUpload per RCE non autenticata; serve chiave custom. Aggiornare a 2026.2.708.

7 set 202616:127 min di letturaLeggi

This product uses the NVD API but is not endorsed or certified by the NVD.

La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.

Database CVE

Prodotti coinvolti

Articoli correlati

L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione