Telerik UI for ASP.NET AJAX 2010.1.309 < 2026.2.708 多个 RadAsyncUpload 漏洞

high Nessus 插件 ID 351482

语言：

简介

远程主机具有受多种漏洞影响的 Web 应用程序开发框架。

描述

远程 Windows 主机上安装的 Progress Telerik UI for ASP.NET AJAX 版本为 2010.1.309 或更高版本，低于 2026.2.708。因此，该应用程序受到多个漏洞的影响：

- 正在进行中低于 v2026.2.708 的 AJAX 的 Telerik UI，RadAsyncUpload 客户端状态处理可以将解密失败与无效 JSON 解析失败区分开来，从而创建一个 oracle，向远程攻击者显示受保护的元数据值。（CVE-2026-13182）

- 正在进行中 RadAsyncUpload 上传元数据处理可能通过可测量的时间差泄露加密有效性，从而使远程攻击者能够恢复受保护的元数据值。（CVE-2026-13183）

- 正在进行中针对 AJAX v2026.2.708 之前版本的 Telerik UI 时，当 Telerik.Upload.ConfigurationHashKey 不存在且 machineKey 未显式配置时，上载元数据完整性保护可能会回退到可预测的默认密钥，从而使攻击者能够伪造受保护的上载元数据并解锁进一步的漏洞利用链。
(CVE-2026-13184)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。