Two Critical MarkLogic Flaws Could Give Delegated Managers Persistent Admin Control
The Hacker News · 13 oct, 10:44
Progress Software ha publicado 31 vulnerabilidades en MarkLogic Server, cinco de ellas críticas, que permiten a cuentas con privilegios delegados obtener control administrativo persistente del servidor. Los parches están disponibles desde septiembre en MarkLogic 11.3.7 y 12.1.0, aunque no se reportan ataques activos ni figuran en el catálogo CISA KEV.
Dos de las cinco vulnerabilidades críticas (CVE-2026-85947 y CVE-2026-85948) permiten que un atacante con privilegios limitados de gestión de bosques o usuarios cree cuentas administradoras persistentes o acceda al control administrativo del servidor. CVE-2026-85947 (CVSS 9.9) requiere permisos de gestión de bosques; CVE-2026-85948 (CVSS 9.9) explota una inyección XQuery en una ruta de API de gestión deprecada. Ambas fueron reportadas a través de Bugcrowd por investigadores externos.
Las otras tres vulnerabilidades críticas incluyen ejecución de código con permisos elevados (CVE-2026-85955, CVSS 9.9) y acceso a datos críticos de seguridad fuera de la base de datos asignada (CVE-2026-85956, CVSS 9.6). De las 26 vulnerabilidades restantes, varias dependen de configuraciones específicas: SAML permite aceptar aserciones rechazables, OAuth presenta validaciones débiles de emisor y audiencia, y servicios en la nube exponen credenciales en texto plano. Progress recomienda revisar asignaciones de privilegios delegados antes de actualizar.
Puntos clave
- CVE-2026-85947 y CVE-2026-85948 permiten escalada a administrador desde privilegios delegados
- Actualizar MarkLogic 11.x a 11.3.7 o 12.x a 12.1.0
- Revisar asignaciones de privilegios de bosques y bases de datos antes de actualizar
- No hay exploits conocidos ni reportes de ataques en la naturaleza
- mlcp (MarkLogic Content Pump) requiere actualización a versión coincidente o usar flag -restrict_hosts