Veille sécuritéFrontend
P4Moyenne
Une vulnérabilité dans Kendo UI for jQuery permet une injection JavaScript lors de l’initialisation déclarative de widgets si un attaquant peut contrôler certaines valeurs `data-*` invalides. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers la version corrigée.
JavaScriptjQuery
IdentifiantCVE-2026-124686
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2026.4.1111
Source : NVD — CVE-2026-124686
Analyse technique
`kendo.init()` compile avec `new Function` des valeurs d’attributs `data-*` lorsque l’objet JSON fourni est invalide. L’exécution peut compromettre la confidentialité et l’intégrité des données accessibles dans le navigateur de la victime.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée le 2026-11-11, dans la période demandée.
ImpactExécution de JavaScript dans le contexte du navigateur de la victime, avec risque pour la confidentialité et l’intégrité des données accessibles.
Versions affectéesVersions antérieures à 2026.4.1111 ; la première version affectée n’est pas établie.
Version corrigée2026.4.1111
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-11T16:17:25.190Z
Mise à jour2026-11-11T16:17:25.317Z
Action recommandée
Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).