Databaseleverancier Progress Software heeft op 12 oktober 31 nieuwe kwetsbaarheden in MarkLogic Server onthuld, waarvan er twee een account met slechts beperkte beheerrechten volledige adminrechten over de server kunnen geven. Vijf van de 31 fouten kregen een kritieke score; fixes zijn al sinds 10 september beschikbaar in MarkLogic 11.3.7 en 12.1.0.
De twee kernkwetsbaarheden
CVE-2026-85947 (CVSS 9,9) draait om forest-managementrechten: een account dat alleen bevoegd is om een “forest”, een verzameling documenten gekoppeld aan een database, te beheren kan daarmee een permanent beheerdersaccount aanmaken en zo potentieel de volledige server overnemen. Progress schrijft in de upgradenotities dat een forest-scoped administrative grant voortaan niet meer op zichzelf volstaat om een forest aan een willekeurige database te koppelen, en adviseert klanten om vóór het updaten alle gedelegeerde forest- en databaserechten te controleren.
CVE-2026-85956 (CVSS 9,6) werkt via een vergelijkbaar mechanisme: een account met gedelegeerde databasebeheerrechten kan forests buiten de eigen database back-uppen of terugzetten, en zo bij wat Progress “beveiligingskritieke data” noemt.
Drie andere kritieke fouten
Naast deze twee scoren nog drie andere fouten kritiek. CVE-2026-85948 (9,9) maakt via een XQuery-injectie in een verouderd Management API-pad eveneens blijvende adminrechten mogelijk voor wie al beheerrechten op gebruikersniveau heeft. CVE-2026-85955 (9,9) laat een account met query-uitvoeringstoegang en het recht xdmp-eval-in servercode uitvoeren met verhoogde rechten. CVE-2026-9191 (9,6) ten slotte misbruikt bepaalde REST- en XDBC-uitvoeringspaden om ongeautoriseerde acties uit te voeren of een ingelogde sessie te compromitteren. Voor alle vijf geldt dat de aanvaller al enige bevoegdheid of codeuitvoering op de server nodig heeft; het zijn geen kwetsbaarheden voor een volledig ongeauthenticeerde aanvaller van buitenaf.
Progress zegt niet of een van de 31 fouten al is misbruikt, en geen ervan stond op 13 oktober in de Known Exploited Vulnerabilities-catalogus van de Amerikaanse CISA. Een workaround is er niet; de enige oplossing is upgraden.
Wie nog MarkLogic 11.3.6 of 12.0.3 draait, de versies die in augustus tien andere kwetsbaarheden verhielpen, is nog altijd kwetsbaar voor deze nieuwe reeks. MarkLogic 11.3 is de long-term-supportlijn; voor de 12-lijn bestaat geen gepatchte 12.0-release, alleen 12.1.0, die ook nieuwe functionaliteit toevoegt. Progress waarschuwt daarnaast dat oudere versies van het hulpprogramma MarkLogic Content Pump na de upgrade stuklopen met een XDMP-ISOLATED-fout.
Voor organisaties die MarkLogic gebruiken is dit geen patch om op de lange baan te schuiven. Controleer eerst welke rollen en gebruikers gedelegeerde forest- of databasebeheerrechten hebben, upgrade daarna naar 11.3.7 of 12.1.0, en test interne tools zoals MarkLogic Content Pump vooraf in een acceptatieomgeving om verrassingen te voorkomen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie MarkLogic Server? Upgrade naar 11.3.7 (11.x-lijn) of 12.1.0 (12.x-lijn); versie 11.3.6 en 12.0.3 zijn nog kwetsbaar voor deze nieuwe reeks. Controleer vooraf welke accounts gedelegeerde forest- of databasebeheerrechten hebben, want precies daar grijpen de twee kritieke fouten CVE-2026-85947 en CVE-2026-85956 op aan.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.