Lộ công khai chuỗi khai thác Telerik UI dẫn tới RCE không cần xác thực
"A public exploit chain was released for Telerik UI for ASP.NET AJAX RadAsyncUpload, combining a padding-oracle flaw (CVE-2026-13182) with an unguarded type-resolution/deserialization issue (CVE-2026-13181) to achieve unauthenticated remote code execution under specific non-default configurations. Progress Software patched the issues in version 2026.2.708 (2026 Q2 SP1) on July 8, and the advisory also references a timing-based oracle variant (CVE-2026-13183) plus related but separate component flaws; no confirmed in-the-wild exploitation is reported."
Ảnh hưởng đến thực thi mã từ xa không cần xác thực trong điều kiện cấu hình phù hợp; có thể dẫn tới chiếm quyền tiến trình IIS và tải mã độc lên máy chủ.
Có thể gây gián đoạn dịch vụ web, rủi ro xâm nhập máy chủ ứng dụng, và phát sinh nhu cầu khẩn cấp vá lỗi/kiểm tra cấu hình trên các hệ thống dùng Telerik UI.
Một chuỗi khai thác công khai đã được công bố cho Telerik UI for ASP.NET AJAX trong thành phần RadAsyncUpload, kết hợp lỗi padding oracle (CVE-2026-13182) với lỗi type-resolution/deserialization không được kiểm soát (CVE-2026-13181) để đạt remote code execution không cần xác thực trong một số cấu hình không mặc định. Theo thông tin công bố, bản vá đã có trong 2026.2.708 (2026 Q2 SP1) từ ngày 8/7, và advisory được phát hành sau đó vào 22/7.
Tác động chỉ xuất hiện khi ứng dụng vừa dùng RadAsyncUpload vừa cấu hình khóa mã hóa tùy chỉnh cho control này. Khi các điều kiện đó tồn tại, kẻ tấn công có thể lợi dụng phản hồi khác nhau của máy chủ để suy ra dữ liệu mã hóa, rồi ép control nạp một .NET type tùy ý và tải DLL do attacker kiểm soát. Biến thể dựa trên thời gian được gắn mã CVE-2026-13183.
Hiện chưa có xác nhận khai thác thực tế ngoài đời. Khuyến nghị kỹ thuật là nâng cấp lên 2026.2.708 trở lên, kiểm tra các ứng dụng đang dùng RadAsyncUpload, và áp dụng các biện pháp giảm thiểu tạm thời như RemoteOnly/On cho customErrors nếu chưa thể cập nhật ngay.