CVE-2026-2878
Publiée le 2026-02-25 · Dernière modification le 2026-06-17
Les applications utilisant Progress Telerik UI for AJAX (versions antérieures à 2026.1.225) sont affectées via le composant RadAsyncUpload. Un attaquant non authentifié peut modifier le contenu des fichiers téléchargés en prédisant les identifiants temporaires, bien que cela nécessite l'interaction d'une victime avec le système. Comme cela exige une précision technique élevée et une interaction utilisateur spécifique, l'exploitation est difficile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Progress® Telerik® UI for AJAX, versions prior to 2026.1.225, an insufficient entropy vulnerability exists in RadAsyncUpload, where a predictable temporary identifier, based on timestamp and filename, can enable collisions and file content tampering.