CVE-2026-106137

Mã CVE: 2026-106137. Dữ liệu này được cập nhật trong phiên bản Progress® Telerik® UI for ASP.NET MVC `2012.2.710` đến `2026.3.811`. ClassFactory cập nhật một bộ từ điển chung mà không có quyền truy cập độc quyền và phát sinh các tập tin dynamic không được xóa khỏi AppDomain. Cập nhật từ điển và thêm không atomic, và sự khác biệt trong các descriptor của các đại diện có thể tạo ra các loại được giữ lại khác nhau, dù rằng phân loại không có tính năng chữ thường. Một người tấn công không xác minh có thể lợi dụng vấn đề này nếu ứng dụng cung cấp một endpoint của aggregation được tiếp cận không cần xác thực, bằng cách gửi yêu cầu được tạo ra một cách đồng thời hoặc liên tục. Những yêu cầu này có thể xâm phạm trạng thái từ điển hoặc tăng sử dụng CPU và bộ nhớ, có thể làm giảm khả năng sẵn có. Vấn đề được khắc phục trong phiên bản `2026.3.1015`.

Mã CVE: 2026-106137. Dữ liệu này được cập nhật trong phiên bản Progress® Telerik® UI for ASP.NET MVC `2012.2.710` đến `2026.3.811`. ClassFactory cập nhật một bộ từ điển chung mà không có quyền truy cập độc quyền và phát sinh các tập tin dynamic không được xóa khỏi AppDomain. Cập nhật từ điển và thêm không atomic, và sự khác biệt trong các descriptor của các đại diện có thể tạo ra các loại được giữ lại khác nhau, dù rằng phân loại không có tính năng chữ thường. Một người tấn công không xác minh có thể lợi dụng vấn đề này nếu ứng dụng cung cấp một endpoint của aggregation được tiếp cận không cần xác thực, bằng cách gửi yêu cầu được tạo ra một cách đồng thời hoặc liên tục. Những yêu cầu này có thể xâm phạm trạng thái từ điển hoặc tăng sử dụng CPU và bộ nhớ, có thể làm giảm khả năng sẵn có. Vấn đề được khắc phục trong phiên bản `2026.3.1015`.

Bạn tra cứu quá nhanh — thử lại sau 10 giây.

CVSS (NVD)

8.6 · HIGH

Loại lỗi (CWE)

CWE-362

EPSS (FIRST)

0.49% khả năng bị khai thác trong 30 ngày