CVE-2026-13184

Alta7.5Pubblicata il 22 luglio 2026

In Progress® Telerik® UI for AJAX prima della v2026.2.708, quando Telerik.Upload.ConfigurationHashKey è assente e machineKey non è configurato esplicitamente, la protezione dell'integrità dei metadati di upload potrebbe ricorrere a una chiave predefinita prevedibile, consentendo agli attaccanti di falsificare i metadati di upload protetti e sbloccare ulteriori catene di exploit.

Punteggio CVSS7.5 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Tipo di debolezza (CWE)CWE-321

Vendorprogress

Prodotti coinvolti

Vendor	Prodotto	Versioni
progress	telerik ui for asp.net ajax	< 2026.2.708

L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione

Exploit concatena padding oracle e deserializzazione in Telerik RadAsyncUpload per RCE non autenticata; serve chiave custom. Aggiornare a 2026.2.708.

7 set 202616:127 min di letturaLeggi

This product uses the NVD API but is not endorsed or certified by the NVD.

La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.

Database CVE

Prodotti coinvolti

Articoli correlati

L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione