Veille sécuritéFrontend
P3Élevée
Les noms de champs d’axe de PivotGrid et PivotConfigurator dans Kendo UI for jQuery ne sont pas correctement encodés avant leur insertion dans un modèle de puce, ce qui peut permettre l’exécution de JavaScript. Les versions 2026.3.1015 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
JavaScriptjQuery
IdentifiantCVE-2026-124693
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2026.4.1110
Source : NVD — CVE-2026-124693
Analyse technique
Un nom de champ d’axe contrôlé par l’attaquant peut être interprété comme du HTML dans des contextes d’attribut et d’élément lorsque la puce est affichée.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée le 2026-11-11, dans la période demandée.
ImpactExécution de JavaScript lors de l’affichage d’une puce, avec risque pour la confidentialité et l’intégrité des données accessibles.
Versions affectées2026.3.1015 à 2026.4.1110 exclue ; la première version affectée n’est pas établie.
Version corrigée2026.4.1110
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-11T17:17:18.370Z
Mise à jour2026-11-11T17:17:18.483Z
Action recommandée
Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).