Veille sécuritéFrontend
P4Moyenne
Le composant Menu de KendoReact est affecté par une XSS lorsqu’un utilisateur à faibles privilèges peut influencer les données d’un élément de menu et y placer une URL dangereuse. Le script s’exécute dans l’origine de l’application lorsque l’utilisateur sélectionne l’élément ; aucun correctif n’est précisé dans les éléments fournis.
JavaScriptReact
IdentifiantCVE-2026-106134
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif16.2.0
Source : NVD — CVE-2026-106134
Analyse technique
Le vecteur est une URL dangereuse dans les données d’un élément du composant Menu, activée lors de sa sélection.
Impact, versions et correctif
Événement datéLa fiche fournie indique une publication le 2026-11-06T17:17:11.783Z, dans la période demandée ; elle décrit une XSS dans le composant.
ImpactExécution de JavaScript dans l’origine de l’application.
Versions affectéesKendoReact 1.3.0 à 16.1.0
Version corrigée16.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4 · CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Publication2026-11-06T17:17:11.783Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et valider les URL fournies aux éléments de menu.
Sources
Priorisation DFS : P4 · 1 source(s).