CVE-2026-9195
KrytyczneCVSS 9.3Streszczenie
Podatność na atak typu cross-site scripting w konsoli zapytań Progress MarkLogic Server przed wersjami 11.3.6 i 12.0.3. Zdalny atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia spreparowanego adresu URL, co pozwala na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, przechwycenie poświadczeń i wykonanie uprzywilejowanych działań w jego imieniu.
Ocena ryzyka
Ryzyko przejęcia konta administratora i pełnej kompromitacji systemu MarkLogic, w tym dostępu do wrażliwych danych i możliwości wykonania nieautoryzowanych operacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Progress MarkLogic Server do wersji 11.3.6 lub 12.0.3 (lub nowszej), która zawiera poprawkę. Dodatkowo należy edukować administratorów, aby nie klikali w podejrzane linki.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting vulnerability in the Query Console of Progress MarkLogic Server before 11.3.6 and 12.0.3 allows a remote attacker who lures an authenticated administrator to a crafted URL to execute arbitrary JavaScript in the administrator's browser session, capture credentials, and perform privileged actions on the administrator's behalf.