Veille sécuritéFrontend
P4Moyenne
Le composant Chat de Kendo UI for Angular présente une XSS via une action rapide openUrl contenant une URL dangereuse dans un message fourni par un utilisateur à faibles privilèges. Le script s’exécute dans le navigateur d’un autre utilisateur lorsqu’il clique sur l’action ; les versions antérieures à 25.3.0 sont concernées.
AngularJavaScript
IdentifiantCVE-2026-106135
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif25.3.0
Source : NVD — CVE-2026-106135
Analyse technique
L’URL dangereuse est traitée par l’action rapide openUrl du composant Chat.
Impact, versions et correctif
Événement datéLa fiche fournie indique une publication le 2026-11-06T17:17:11.930Z, dans la période demandée ; le correctif 25.3.0 est indiqué dans les données du candidat.
ImpactExécution de JavaScript dans le navigateur d’un autre utilisateur.
Versions affectéesKendo UI for Angular antérieur à 25.3.0
Version corrigée25.3.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-06T17:17:11.930Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à jour vers la version 25.3.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).