In Progress MarkLogic Server steckt eine XQuery-Injection-Schwachstelle in einem als veraltet markierten Pfad der Management-API. XQuery ist die Abfragesprache, mit der auf die Datenbank zugegriffen wird; durch unzureichende Prüfung übergebener Eingaben kann ein Angreifer eigene Abfrageanteile einschleusen und vom Server ausführen lassen. Voraussetzung ist ein Zugang aus der Ferne mit Berechtigungen auf Benutzerverwaltungsebene – also kein vollständiger Administratorzugriff, aber auch kein völlig unprivilegierter Zugang. Gelingt der Angriff, kann sich der Angreifer dauerhafte, nicht autorisierte administrative Kontrolle über den Datenbankserver verschaffen. Damit stehen ihm sämtliche gespeicherten Daten sowie die Konfiguration des Systems offen, und der erlangte Zugriff bleibt auch über die eigentliche Angriffshandlung hinaus bestehen. Betroffen sind Installationen, bei denen der veraltete Pfad der Management-API weiterhin erreichbar ist.