Chyba typu padding oracle v Telerik UI zřetězena do neautentizovaného RCE — exploit je veřejný

The Hacker News · code-execution · unauthenticated · patch-or-mitigation

Proof-of-concept od TantoSec mění „padding oracle“ v AES-CBC v Telerik UI for ASP.NET AJAX v neautentizované vzdálené spuštění kódu — ale jen proti aplikacím ve specifické nevýchozí konfiguraci, a Progress ten řetězec opravil v červenci. Nejsou potvrzené zprávy o zneužívání v praxi.