Veille sécuritéFrontend
P4Moyenne
Le composant Chat de KendoReact permet une XSS via une URL dangereuse dans une action rapide openUrl, à partir de messages fournis par un utilisateur à faibles privilèges. Le script peut s’exécuter dans l’origine de l’application lorsque la victime clique sur l’action ; aucun correctif n’est indiqué dans les éléments fournis.
JavaScriptReact
IdentifiantCVE-2026-106136
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-106136
Analyse technique
Le vecteur est une URL dangereuse traitée par l’action openUrl du composant Chat.
Impact, versions et correctif
Événement datéLa fiche fournie indique une publication le 2026-11-06T17:17:12.077Z, dans la période demandée ; elle décrit une XSS dans le composant.
ImpactExécution de JavaScript dans l’origine de l’application.
Versions affectéesKendoReact 0.6.0 à 16.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-06T17:17:12.077Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les URL des actions rapides.
Sources
Priorisation DFS : P4 · 1 source(s).