🇰🇷 한글 설명
2026.3.1015 이전 버전의 In Progress® Kendo® UI for jQuery에서 Model.accept 함수가 __proto__, constructor, prototype과 같은 위험한 객체 경로를 검증하지 않고 kendo.setter로 전달하는 취약점이 발견되었습니다. 공격자가 조작된 데이터를 제공할 경우 객체의 프로토타입 속성을 수정하여 애플리케이션의 동작을 변경하고 데이터의 기밀성과 무결성을 침해할 수 있습니다.
💡 쉬운 설명
프로그램이 데이터를 처리할 때 검증되지 않은 특수 명령어를 포함하면, 시스템의 근본적인 규칙을 몰래 바꿀 수 있는 보안 약점입니다. 이를 통해 해커가 프로그램의 동작을 마음대로 조작하거나 중요한 정보를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
In Progress® Kendo® UI for jQuery prior to 2026.3.1015, Model.accept passes server-response keys to kendo.setter without guarding against unsafe object paths containing __proto__, constructor, or prototype. An attacker who can supply data accepted by an affected model can modify object prototype attributes and influence application behavior, potentially compromising the confidentiality and integrity of application data. The impact depends on how the application uses the modified objects, including in server-side JavaScript scenarios. The earliest affected version has not been confirmed. This issue is fixed in version 2026.3.1015.
📍 영향받는 시스템
In Progress® Kendo® UI for jQuery 2026.3.1015 미만 버전
⚔️ 공격 벡터
서버 응답 데이터에 __proto__ 등의 특수 키를 포함시켜 모델의 프로토타입을 조작하는 방식
🛡️ 대응 방법
Kendo UI for jQuery를 최신 보안 패치가 적용된 버전인 2026.3.1015 이상으로 업데이트하십시오.
🔧 검증 코드
프로젝트 내 Kendo UI 관련 파일에서 현재 사용 중인 버전 번호를 확인하여 2026.3.1015 미만인지 체크합니다.
grep -r "kendo" /path/to/your/project | grep -E 'version|202[0-5]\.[0-3]\.[0-9]+'