CVE-2026-6023: RCE in Telerik UI per AJAX (RadFilter)

Il CVE-2026-6023 riguarda una falla di deserialization insicura nel controllo RadFilter di Progress® Telerik® UI for AJAX. Il controllo ripristina lo stato del filtro tramite dati esposti al client; un attaccante che modifica questi dati può forzare il server a deserializzare payload malevoli, causando esecuzione remota di codice (RCE). Colpisce versioni 2024.4.1114 fino a 2026.1.421.

La severità è HIGH (CVSS 8,1). Il vettore di attacco è il tamper dello stato del filtro via client, con impatto diretto sull'integrità del server. La vulnerabilità è stata ufficialmente pubblicata da NVD il 22 aprile 2026. Un segnale da repository GitHub è stato rilevato il 6 novembre 2026, indicando interesse potenziale da parte di attaccanti; tuttavia, lo stato di sfruttamento pubblico non è confermato dai dati disponibili.

Azioni di difesa: (1) Prendere subito inventario delle istanze Telerik UI for AJAX in produzione, soprattutto dove il controllo RadFilter è usato. (2) Contattare Progress per patch di sicurezza successiva a versione 2026.1.421 e pianificarne il deploy prioritario. (3) Esaminare i log server per pattern di deserialization anomale o eccezioni legate a RadFilter. (4) Implementare controlli su input/output del filtro e validazione stretta dei dati di stato.