Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 03/11/2021, correctif exigé avant le 03/05/2022 pour les agences fédérales américaines.

Action requise : Apply updates per vendor instructions.

Description officielle (NVD)

Progress Telerik UI for ASP.NET AJAX contains a deserialization of untrusted data vulnerability through RadAsyncUpload which leads to code execution on the server in the context of the w3wp.exe process.

Preuves de concept publiques (17)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

noperator/CVE-2019-18935 · ★ 373 · 12/12/2019
RCE exploit for a .NET JSON deserialization vulnerability in Telerik UI for ASP.NET AJAX.
bao7uo/RAU_crypto · ★ 179 · 09/01/2018
Telerik UI for ASP.NET AJAX File upload and .NET deserialisation exploit (CVE-2017-11317, CVE-2017-11357, CVE-2019-18935)
murataydemir/CVE-2019-18935 · ★ 16 · 19/08/2020
[CVE-2019-18935] Telerik UI for ASP.NET AJAX (RadAsyncUpload Handler) .NET JSON Deserialization
dust-life/CVE-2019-18935-memShell · ★ 13 · 25/12/2023
ThanHuuTuan/Telerik_CVE-2019-18935 · ★ 12 · 25/05/2020
TelerikUI Vulnerability Scanner (CVE-2019-18935)
ekkoo-z/CVE-2019-18935-bypasswaf · ★ 8 · 09/07/2025
random-robbie/CVE-2019-18935 · ★ 5 · 30/09/2020
CVE-2019-18935
ThanHuuTuan/CVE_2019_18935 · ★ 2 · 29/05/2020
This project for CVE-2019-18935
KasunPriyashan/Telerik-UI-ASP.NET-AJAX-Exploitation · ★ 1 · 13/10/2022
Unrestricted File Upload by Weak Encryption affected versions (CVE-2017-11317) 2. Remote Code Execution by Insecure Deserialization - (CVE-2019-18935)
quyt0/CVE-2019-18935-exploit-study · ★ 1 · 11/09/2025
In-depth study of CVE-2019-18935 affecting Telerik UI for ASP.NET AJAX. Covers .NET deserialization vulnerability, RadAsyncUpload handler, gadget chains, mixed-mode assembly exploitation, and mitigati