Potrivit The Hacker News, firma de securitate TantoSec a publicat un exploit funcțional care transformă o slăbiciune de tip „padding oracle” în Telerik UI pentru ASP.NET AJAX într-o execuție de cod la distanță fără autentificare. Exploitarea afectează versiunile 2010.1.309 până la 2026.2.519 ale componentei RadAsyncUpload și necesită o configurație specifică non-implicită — prezența unui control RadAsyncUpload pe pagină și o cheie de criptare explicită și personalizată.
Progress Software a lansat patch-ul în iulie 2026 (versiunea 2026.2.708), iar cercetătorul Marcio Almeida a dezvăluit în septembrie lanțul complet de atac, incluzând un instrument de linie de comandă și două payload-uri DLL. Vulnerabilitatea principală, CVE-2026-13181, are un scor CVSS de 8.1. Atacantul poate exploata lipsa unei verificări de integritate a datelor criptate cu AES-CBC pentru a decripta și falsifica configurația încărcării fără a cunoaște cheia.
Nu sunt rapoarte confirmate de exploatare în mediul real. Progress recomandă actualizarea imediată la versiunea 2026.2.708 sau mai nouă, care înlocuiește schema defectuoasă cu criptare autentificată. Pentru sisteme care nu pot fi actualizate imediat, organizațiile trebuie să monitorizeze procesele w3wp.exe care lansează cmd.exe sau aparițiile de fișiere .aspx neașteptate în directorul web.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
