اکسپلویت عمومی برای زنجیره آسیب‌پذیری‌های Telerik UI منتشر شد؛ اجرای کد بدون احراز هویت در برنامه‌های ASP.NET

شرکت امنیتی TantoSec در ۷ سپتامبر یک زنجیره اکسپلویت کارا برای Telerik UI for ASP.NET AJAX منتشر کرد که به مهاجمان بدون احراز هویت اجازه می‌دهد کد دلخواه را روی هر سرور آسیب‌پذیر اجرا کنند. این انتشار شامل یک ابزار خط فرمان به نام telerik-rau-exploit و دو payload است — یکی که یک web shell روی دیسک می‌نویسد و دیگری که کاملاً در حافظه اجرا می‌شود.

این زنجیره چهار آسیب‌پذیری مجزا را به هم وصل می‌کند: CVE-2026-13181 (نوع‌شناسی بدون محافظت، CVSS 8.1)، CVE-2026-13182 (padding oracle در AES-CBC)، CVE-2026-13183 (نوع timing-based oracle) و CVE-2026-13184 (کلید رمزگذاری پیش‌فرض قابل پیش‌بینی). محقق مارسیو آلمیدا نشان داد که ترکیب این آسیب‌پذیری‌ها با یک گجت deserialise نوع‌نام، از «توانایی رمزگشایی داده‌های سمت سرور» به «اجرای کد به عنوان Application Pool» ارتقا می‌یابد.

محدوده تحت تأثیر از نسخه 2010.1.309 تا 2026.2.519 را پوشش می‌دهد — بازه‌ای که ۱۶ سال از نسخه‌های Telerik را در بر می‌گیرد. Progress Software این نقص‌ها را در نسخه 2026.2.708 وصله کرد که در ۸ ژوئیه ۲۰۲۶ منتشر شد. تاکنون هیچ بهره‌برداری واقعی از این آسیب‌پذیری‌ها در محیط واقعی گزارش نشده است.

یک پیش‌شرط مهم وجود دارد: این حمله نیاز دارد که برنامه با یک کلید رمزگذاری صریح و غیر پیش‌فرض برای کنترل RadAsyncUpload پیکربندی شده باشد. سازمان‌هایی که هر نسخه‌ای از ۲۰۱۰ به بعد را اجرا می‌کنند باید فوراً به نسخه 2026.2.708 ارتقا دهند.

این خبر اولین بار توسط The Hacker News به استناد تحقیقات TantoSec، نوشته مارسیو آلمیدا، منتشر شده در ۷ سپتامبر ۲۰۲۶ گزارش شد.