CVE-2026-85967
ŚrednieCVSS 6.1Streszczenie
Progress MarkLogic Server przed wersjami 12.1.0 (dla serii 12.x) i 11.3.7 (dla serii 11.x) zawiera podatność na atak XSS (cross-site scripting). Zdalny atakujący może wykonać skrypt w kontekście sesji przeglądarki uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanych działań lub ujawnienia informacji dostępnych dla tego użytkownika.
Ocena ryzyka
Atakujący może przejąć sesję zalogowanego użytkownika, wykonywać operacje w jego imieniu lub wykraść wrażliwe dane.
Rekomendacja
Należy niezwłocznie zaktualizować MarkLogic Server do wersji 12.1.0 lub 11.3.7 i wdrożyć zabezpieczenia przed XSS, takie jak filtrowanie danych wejściowych i odpowiednie kodowanie wyjścia.
Inne podatności w MarkLogic Server
Zobacz wszystkie- CVE-2026-85976Średnie
Progress MarkLogic Server w wersjach przed 12.1.0 (seria 12.x) oraz przed 11.3.7 (seria 11.x) nie wystarczająco oczyszcza dane wejściowe używane przez punkt końcowy przeglądarki plików w Query Console. Luka może umożliwić wstrzyknięcie odpowiedzi HTTP (HTTP response splitting) oraz niezamierzone przetwarzanie odpowiedzi po stronie klienta.
- CVE-2026-85954Wysokie
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 może oceniać wartości kontrolowane przez użytkownika dostarczone do niektórych funkcji XQuery wyższego rzędu w podwyższonym kontekście bezpieczeństwa, co może prowadzić do eskalacji uprawnień ponad przyznane atakującemu.
- CVE-2026-85953Wysokie
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera uprzywilejowane moduły InfoStudio, które nie walidują wystarczająco ścieżek plików i wartości kontekstu użytkownika. Eksploatacja może prowadzić do nieautoryzowanego dostępu do plików serwera lub wykonania pod niezamierzoną tożsamością.
- CVE-2026-85952Wysokie
Progress MarkLogic Server na systemach Linux w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która może pozwolić uwierzytelnionemu atakującemu na dostęp do wewnętrznych usług chmurowych, potencjalnie prowadząc do nieautoryzowanego dostępu do poświadczeń chmurowych.
- CVE-2026-85951Wysokie
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 na platformie Azure zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która może pozwolić uwierzytelnionemu atakującemu na dostęp do wewnętrznych usług chmurowych, potencjalnie prowadząc do nieautoryzowanego dostępu do poświadczeń lub tokenów chmurowych.
Oryginalny opis (angielski, źródło NVD)
Progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain a cross-site scripting vulnerability that could allow a remote attacker to execute script in the context of an authenticated user's browser session, which could result in unauthorized actions or disclosure of information accessible to that user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS