В MarkLogic исправили уязвимости, позволяющие закрепить права администратора

Progress Software раскрыла 31 уязвимость в СУБД MarkLogic Server. Пять из них компания оценила как критические; две позволяют учётным записям с отдельными управленческими правами закрепить за собой полный административный контроль над сервером.

Одна из наиболее опасных проблем, CVE-2026-85947 с оценкой CVSS 9,9, затрагивает управление forest — наборами документов, привязанными к базе данных MarkLogic. Учётная запись с правами на управление forest может создать постоянную учётную запись администратора. Для CVE-2026-85948 с той же оценкой достаточно прав уровня manage-user: ошибка XQuery-инъекции в устаревшем пути Management API также позволяет получить постоянный административный доступ.

Ещё три критические уязвимости получили оценки 9,9 и 9,6. CVE-2026-85955 может позволить выполнять серверный код с повышенными привилегиями пользователю, который способен запускать запросы и имеет право xdmp-eval-in. CVE-2026-85956 даёт делегированному администратору базы возможность резервировать или восстанавливать forest за пределами собственной базы, затрагивая критически важные для безопасности данные. CVE-2026-9191 может привести к несанкционированным действиям или компрометации аутентифицированной сессии через отдельные пути выполнения REST- и XDBC-запросов.

Исправления доступны с 10 сентября в MarkLogic 11.3.7 и 12.1.0. Уязвимы все версии ветки 11.x до 11.3.7 и ветки 12.x до 12.1.0. Ветка 11.3 имеет статус LTS, тогда как для инновационной ветки 12 исправления не выпускались в виде патча 12.0: обновляться нужно сразу до 12.1.0. Установки августовских обновлений 11.3.6 и 12.0.3 недостаточно — эти версии также подвержены новым проблемам.

Компания рекомендует до обновления проверить делегированные права на управление forest и базами данных, а также провести аудит ролей с привилегией xdmp-eval-in. Для организаций, которые пока не могут обновить сервер, в записях CVE и заметках к релизам обходные меры не указаны.

Среди остальных ошибок 24 имеют высокий уровень опасности, ещё две — средний. Отдельные уязвимости зависят от конфигурации: они затрагивают аутентификацию SAML и OAuth, Kerberos, облачные развёртывания, журналы диагностики, Amazon S3 и Query Console. В частности, при включённом уязвимом пути трассировки IAM в диагностические журналы могли попадать незашифрованные ключи AWS и токены сессий.

По состоянию на 13 октября The Hacker News не обнаружил эти CVE в каталоге CISA Known Exploited Vulnerabilities. В материалах Progress также не говорится, применялись ли уязвимости в реальных атаках.