CVE-2026-9192
CVSS 9.8 CRITICAL: an authentication bypass vulnerability in the ODBC App Server of Progress MarkLogic Server before 11.3.6 and 12.0.3… EPSS 0.8% (57º percentile).
Vulnerabilità · 6 ore fa
Progress ha pubblicato il 12 ottobre 31 flaw in MarkLogic Server. Due sono critici e possono far passare un account con soli privilegi delegati di forest o database a un controllo amministratore persistente del server. Le correzioni sono disponibili dal 10 settembre in MarkLogic 11.3.7 e 12.1.0.
Il punto non è solo la severità dei CVE. In MarkLogic, un grant amministrativo limitato su una forest non basta più a giustificare l'aggancio di quella forest al database scelto dall'account, perché quel passaggio poteva trasformare una delega parziale in controllo pieno. Le patch di agosto non coprono questa nuova serie; le versioni 11.3.6 e 12.0.3 restano esposte.
Per chi usa amministrazione delegata su MarkLogic 11.x e 12.x, il rischio è che un modello pensato per contenere i privilegi diventi una via di takeover del server. Progress non indica workaround né sfruttamento noto, quindi la questione resta di esposizione corretta e versione installata, non solo di singola CVE.
CVSS 9.8 CRITICAL: an authentication bypass vulnerability in the ODBC App Server of Progress MarkLogic Server before 11.3.6 and 12.0.3… EPSS 0.8% (57º percentile).
CVSS 9.9 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain an authorization flaw in certain forest-management operations.
CVSS 9.9 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain an XQuery injection flaw in a deprecated Management API package path.
CVSS 9.6 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 allow a remote attacker with…
CVSS 9.6 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 do not sufficiently isolate…
2 fonti che coprono questa storia
Progress Software: sanate vulnerabilità in MarkLogic Server
Rilasciati aggiornamenti di sicurezza per sanare 31 vulnerabilità, di cui 5 con gravità "critica" e 24 con gravità "alta", in Progress MarkLogic Server, nota piattaforma di database NoSQL progettata per archiviare, integrare, gestire e ricercare grandi volumi di dati eterogenei all'interno di un unico sistema.
Two Critical MarkLogic Flaws Could Give Delegated Managers Persistent Admin Control
Progress fixed 31 MarkLogic Server flaws in 11.3.7 and 12.1.0, including two that could give delegated accounts persistent admin control.
Part of the PlainSec briefing for 2026-10-13