Veille sécuritéFrontend
P3Élevée
Les widgets DropDownButton et SplitButton de Kendo UI for jQuery pouvaient laisser injecter du balisage, y compris des gestionnaires d’événements, via les attributs id et target de leurs éléments. Un attaquant capable d’influencer ces valeurs pouvait provoquer l’exécution de JavaScript dans le navigateur d’un utilisateur.
jQuery
IdentifiantCVE-2026-124687
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2026.4.1111
Source : NVD — CVE-2026-124687
Analyse technique
L’injection de balisage concerne les valeurs id et target des éléments des deux widgets.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-11 à 17:17:17.630Z, soit 2026-11-11T19:17:17.630+02:00, dans la période demandée. La mise à jour NVD distincte fournie pour cette même CVE n’est pas comptée comme événement supplémentaire.
ImpactExécution possible de JavaScript dans le navigateur d’un utilisateur.
Versions affectéesÀ partir de 2022.2.621 et avant 2026.4.1111.
Version corrigée2026.4.1111
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-11T19:17:17.630+02:00
Mise à jour2026-11-11T19:17:17.743+02:00
Action recommandée
Mettre à niveau vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).