Veille sécuritéFrontend
P3Élevée
Une injection de balisage dans les widgets TabStrip, PanelBar et Menu de Kendo UI for jQuery peut permettre l’exécution de JavaScript dans l’origine de l’application lorsque des données contrôlées par l’attaquant sont rendues. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers cette version ou une version ultérieure.
JavaScriptjQuery
IdentifiantCVE-2026-124688
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2026.4.1111
Source : NVD — CVE-2026-124688
Analyse technique
Les widgets acceptent le mappage d’un champ de source de données vers `spriteCssClass`. Si l’attaquant contrôle les données mappées, il peut injecter du balisage, notamment des attributs de gestionnaire d’événement.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée le 2026-11-11, dans la période demandée.
ImpactExécution de JavaScript dans l’origine de l’application, pouvant exposer les données et actions accessibles dans la session authentifiée de la victime.
Versions affectéesVersions antérieures à 2026.4.1111.
Version corrigée2026.4.1111
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-11T17:17:17.783Z
Mise à jour2026-11-11T17:17:17.897Z
Action recommandée
Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).