- Aktif istismar
- CWE-502
CVE-2019-18935
Progress Telerik UI for ASP.NET AJAX Deserialization of Untrusted Data Vulnerability
Kritik
9,8
CVSS 3.1
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2513 gün
- Kaydı açan
- mitre
Saldırılarda kullanılıyor
CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
Progress Telerik UI for ASP.NET AJAX through 2019.3.1023 contains a .NET deserialization vulnerability in the RadAsyncUpload function. This is exploitable when the encryption keys are known due to the presence of CVE-2017-11317 or CVE-2017-11357, or other means. Exploitation can result in remote code execution. (As of 2020.1.114, a default setting prevents the exploit. In 2019.3.1023, but not earlier versions, a non-default setting can prevent exploitation.)
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progress Telerik UI for ASP.NET AJAX | Sürüm belirtilmemiş | – |
Kaynaklar12 kaynak
- CVE.org kaydı
- NVD kaydı
- telerik.com/support/whats-new/release-history Diğer
- codewhitesec.blogspot.com/2019/02/telerik-revisited.html Diğer
- telerik.com/…ls/allows-javascriptserializer-deserialization Diğer
- github.com/bao7uo/RAU_crypto Diğer
- know.bishopfox.com/…2019-18935-remote-code-execution-in-telerik-ui Diğer
- github.com/noperator/CVE-2019-18935 Diğer
- packetstormsecurity.com/…s/155720/Telerik-UI-Remote-Code-Execution.html Diğer
- telerik.com/…-asp-net-ajax-r1-2020-%28version-2020-1-114%29 Diğer
- packetstormsecurity.com/…P.NET-AJAX-RadAsyncUpload-Deserialization.html Diğer
- bleepingcomputer.com/…ncy-hacked-using-old-telerik-bug-to-steal-data Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı