Veille sécuritéFrontend
P4Moyenne
Une pollution de prototype dans l’utilitaire `setter` de KendoReact peut être déclenchée si un utilisateur fortement privilégié contrôle un chemin de champ transmis à cet utilitaire, directement ou via Form, Scheduler ou Gantt. Elle peut affecter de façon limitée la confidentialité, l’intégrité et la disponibilité; la fiche CVE indique que les versions 3.5.0 à 16.0.0 sont concernées.
React
IdentifiantCVE-2026-106127
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : CVE-2026-106127 — fiche NVD
Analyse technique
CWE-1321. CVSS 4.1, vecteur CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L. La fiche de l’éditeur est référencée dans l’enregistrement CVE.
Impact, versions et correctif
Événement datéNouvelle publication du CVE record par Progress le 2026-11-06 à 17:00:48Z, dans la période demandée; la fiche NVD a également été publiée le 2026-11-06.
ImpactUn attaquant fortement privilégié pouvant contrôler le chemin de champ peut modifier le prototype d’objets intégrés, avec un impact limité sur la confidentialité, l’intégrité et la disponibilité.
Versions affectéesKendoReact 3.5.0 à 16.0.0; le fournisseur indique comme version non affectée 16.1.0 et ultérieures.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.1 · CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L
Publication2026-11-06T17:00:48.327Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à niveau vers une version corrigée indiquée par Progress; vérifier l’avis de l’éditeur pour les consignes et éventuelles mesures transitoires.
Sources
Priorisation DFS : P4 · 1 source(s).