Descripción
Las versiones 12.x anteriores a 12.1.0 y 11.x anteriores a 11.3.7 de Progress MarkLogic Server contienen una falla de inyección XQuery en una ruta de paquete obsoleta de Management API. Un atacante remoto con privilegios de nivel manage-user podría explotar esta falla para obtener control administrativo no autorizado y persistente.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- MarkLogic Server Afectadas: 11.0.0 y anteriores a 11.3.7 · 12.0.0 y anteriores a 12.1.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantecommunity.progress.com/s/article/Marklogic-Critical-Security-Alert-Bu…
Ver el texto original en inglés (CVE.org)
Improper privilege management in Progress MarkLogic Server Management API
Progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain an XQuery injection flaw in a deprecated Management API package path. A remote attacker with manage-user-level privileges could exploit this flaw to obtain persistent unauthorized administrative control.