CVE-2026-19219: RCE in Telerik UI AJAX RadEditor

Il CVE-2026-19219 riguarda una vulnerabilità di insufficiente protezione dell'integrità nei parametri di richiesta del componente RadEditor file browser in Telerik UI for AJAX versioni prior a 2026.3.812. Colpisce applicazioni web AJAX che utilizzano il controllo RadEditor con funzionalità di browsing dei file. Un attaccante che ha ottenuto accesso a determinati materiali di chiave crittografica dell'applicazione può alterare i parametri del dialog e ridirigere le operazioni del file browser verso cartelle non autorizzate, potenzialmente provocando l'esecuzione di codice remoto sul server.

La vulnerabilità è classificata con CVSS 8,1 (HIGH) e è stata ufficialmente dichiarata da Progress nel National Vulnerability Database il 2 settembre 2026. È stata confermata da un segnale pubblico su GitHub del 6 novembre 2026, che riporta l'esistenza di repository dichiaranti di contenere exploit. La necessità dell'accesso a materiali di chiave crittografica applicativa limita l'accessibilità generale, ma per gli attaccanti che li posseggono il rischio è significativo.

Gli amministratori devono controllare d'urgenza le versioni di Telerik UI for AJAX in uso nelle loro applicazioni e procedere all'aggiornamento a v2026.3.812 o successiva. È consigliabile aumentare il monitoraggio dei log di accesso al RadEditor, verificare i meccanismi di controllo di integrità dei parametri dialogue, e monitorare i tentativi di accesso a cartelle non autorizzate. Per applicazioni che non possono aggiornare immediatamente, valutare mitigazioni come la disabilitazione temporanea della funzione di file browser fino al patching.

Questa vulnerabilità è particolarmente rilevante per amministratori di piattaforme CMS, portali aziendali e applicazioni collaborative che si affidano a Telerik AJAX per la gestione documentale e l'editing on-line. L'accesso a materiali crittografici potrebbe essere ottenuto tramite compromissione di configurazioni, fuoriuscite di backup, o insider threat, rendendo necessaria una revisione della gestione dei segreti applicativi.