یک آسیب‌پذیری امنیتی با شدت متوسط (Medium) در کتابخانه Kendo UI for Vue، به‌طور مشخص در بسته @progress/kendo-vue-charts شناسایی شده است. این نقص امنیتی در نسخه‌های 2.5.0 تا پیش از 16.2.0 وجود دارد و به دلیل عدم رمزگذاری (Encoding) مناسب داده‌ها در بخش Tooltip نمودارها رخ می‌دهد.
جزئیات فنی و مکانیسم حمله
در نسخه‌های آسیب‌پذیر، Tooltip پیش‌فرض نمودارها، مقادیر فرمت‌شده نقاط را به صورت Raw HTML رندر می‌کند. این موضوع باعث می‌شود اگر یک عامل تهدید (Threat Actor) با دسترسی سطح پایین بتواند بر مقادیر رشته‌ای (String) متصل به نمودار تأثیر بگذارد، قادر خواهد بود کدهای HTML حاوی Event Handlerهای مخرب را تزریق کند.
تاثیرات امنیتی
زمانی که کاربر روی نقطه داده‌ای آلوده در نمودار Hover کند، کدهای جاوااسکریپت تزریق شده در مرورگر کاربر اجرا می‌شوند. این نوع حمله که به عنوان Cross-Site Scripting (XSS) شناخته می‌شود، می‌تواند منجر به سرقت Session Cookies، تغییر محتوای صفحه یا هدایت کاربر به سایت‌های مخرب شود.
راهکار اصلاحی
به کاربران و توسعه‌دهگانی که از این کتابخانه استفاده می‌کنند توصیه می‌شود سریعاً بسته @progress/kendo-vue-charts را به نسخه 16.2.0 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
به‌روزرسانی (اکتبر 10, 2026 — ThreatCluster)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهد که آسیب‌پذیری مشابهی با شناسه CVE-2026-106138 در کتابخانه KendoReact (بسته @progress/kendo-react-charts) نیز شناسایی شده است.
این نقص امنیتی در نسخه‌های 1.1.0 تا پیش از 16.2.0 وجود دارد و به دلیل رندر کردن مقادیر نقاط نمودار به صورت HTML خام و بدون رمزگذاری (Encoding) در Tooltipها رخ می‌دهد. در نتیجه، یک عامل تهدید (Threat Actor) با دسترسی محدود که بتواند بر مقادیر متنی نمودار تأثیر بگذارد، قادر است کدهای جاوااسکریپت مخرب را تزریق کند تا هنگام قرار گرفتن نشانگر موس کاربر روی نقاط آسیب‌پذیر، این کدها در مرورگر اجرا شوند.
