Доказательство концепции TantoSec превращает «заполняющий оракул» AES-CBC в пользовательском интерфейсе Telerik для ASP.NET AJAX в удаленное выполнение кода без аутентификации — но только против приложений в определенной конфигурации, отличной от умолчанию, и Progress исправил цепочку в июле. Подтвержденных сообщений об эксплуатации в дикой природе нет. Охранная фирма TantoSec опубликовала рабочую цепочку эксплойтов, нацеленную на уязвимости.
