Progress vá lỗi nghiêm trọng trong MarkLogic Server
"Progress Software disclosed 31 MarkLogic Server vulnerabilities, including two critical flaws that could let delegated or forest-scoped managers create persistent administrator access and gain complete control of affected servers. Fixes are available in MarkLogic 11.3.7 and 12.1.0, with no workaround noted; the critical issues include CVE-2026-85947, CVE-2026-85948, CVE-2026-85955, CVE-2026-85956, and CVE-2026-9191, affecting 11.x and 12.x releases before those versions."
Rủi ro chiếm quyền quản trị trên MarkLogic Server nếu hệ thống còn chạy bản cũ; một số lỗi có thể dẫn đến truy cập trái phép, thực thi mã hoặc rò rỉ dữ liệu nhạy cảm.
Ảnh hưởng vận hành cao do cần nâng cấp và rà soát quyền truy cập; nếu bị khai thác có thể gây gián đoạn dịch vụ, mất kiểm soát hệ thống và phát sinh chi phí ứng phó sự cố.
Progress Software đã công bố 31 lỗ hổng trong MarkLogic Server, trong đó có 5 lỗi nghiêm trọng. Hai lỗi đáng chú ý có thể cho phép tài khoản chỉ có quyền quản trị được ủy quyền hoặc quyền theo forest tạo tài khoản quản trị bền vững, từ đó giành toàn quyền kiểm soát máy chủ bị ảnh hưởng.
Các bản vá đã có sẵn trong MarkLogic 11.3.7 và MarkLogic 12.1.0. Theo thông tin công bố, không có biện pháp khắc phục tạm thời cho khách hàng chưa thể nâng cấp ngay. Các bản phát hành bị ảnh hưởng gồm 11.x trước 11.3.7 và 12.x trước 12.1.0; việc đã cài các bản sửa trước đó cho đợt công bố tháng 8 là chưa đủ.
Một số CVE nghiêm trọng gồm CVE-2026-85947, CVE-2026-85948, CVE-2026-85955, CVE-2026-85956 và CVE-2026-9191. Ngoài nhóm lỗi đặc quyền, danh sách còn có các vấn đề liên quan đến SAML, OAuth, Kerberos, Query Console, cloud hosting, log chẩn đoán và S3.
Khuyến nghị: nâng cấp sớm, rà soát lại quyền delegated forest/database, kiểm tra các vai trò có xdmp-eval-in, và đánh giá cấu hình các tính năng đang bật để giảm rủi ro khai thác.