Progress MarkLogic Server: Unzureichende Berechtigungsverwaltung in xdmp:eval-in
Zusammenfassung
MarkLogic Server 11.x vor 11.3.7 und 12.x vor 12.1.0 erlauben einem entfernten Angreifer mit Zugriff auf die Abfrageausführung, eine XQuery-Auswertungsfunktion ohne das separate Auswertungsrecht aufzurufen. Eine erfolgreiche Ausnutzung kann zur serverseitigen Codeausführung mit erhöhten Rechten und zu einem vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führen. Der Angreifer benötigt ein Konto mit niedrigen Rechten, der CVSS-Wert beträgt 9.9 (kritisch). Der für diese CVE gefundene Herstellertext beschreibt ein anderes Problem, weshalb der Umfang mit Progress bestätigt werden muss.
Betroffen
- MarkLogic Server 11.0.0 bis vor 11.3.7
- MarkLogic Server 12.0.0 bis vor 12.1.0
- Standardkonfiguration: im CNA-Eintrag als nicht betroffen aufgeführt.
Behoben in
- Auf MarkLogic Server 12.1.0 oder 11.3.7 (oder neuer) aktualisieren.
Umgehung
- Keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden. Das Patchen ist die genannte Abhilfe.
- Empfohlene Zwischenmassnahme (nicht von einer Herstellerquelle): prüfen, welche Konten Rechte zur Abfrageausführung besitzen, und nicht benötigte Rechte entfernen.
- Empfohlene Zwischenmassnahme: prüfen, welche Konten das Auswertungsrecht besitzen.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- In den geprüften Quellen keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Von Aggregatoren aufgeführte KEV-Daten zu dieser CVE konnten nicht verifiziert werden; den CISA-KEV-Katalog direkt prüfen.
Unsere Empfehlung
- Bei Kundenumgebungen prüfen, ob MarkLogic-Server-Instanzen vorhanden sind; falls ja, hohe Priorität einstufen.
- Auf 12.1.0 oder 11.3.7 ohne Verzug aktualisieren.
- Rechte zur Abfrageausführung und zur Auswertung auf das nötige Minimum beschränken.
- MarkLogic-Protokolle auf unerwartete Auswertungs- oder Rechteaktivitäten prüfen; das Fehlen von Auffälligkeiten ist kein Beweis für Sicherheit.
- Bei Progress klären, welches Problem der Bulletin-Eintrag zu CVE-2026-85955 abdeckt, und die übrigen CVEs des Bulletins vom Oktober 2026 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MarkLogic Critical Security Alert Bulletin, October 2026 community.progress.com
- OpenCVE: CVE-2026-85955 app.opencve.io
- Strix: CVE-2026-85955 www.strix.ai
- Rapid7 record via Vulners: CVE-2026-85955 vulners.com
- TheHackerWire: CVE-2026-85955 www.thehackerwire.com
- GBHackers: Critical Progress MarkLogic Server vulnerabilities gbhackers.com
- Cybersecurity News: Progress MarkLogic flaws cybersecuritynews.com
- DEV Community: CVE-2026-85956 analysis (possible mismatch) dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.