Betroffen ist der Datenbankserver MarkLogic Server von Progress. In ihm sind noch privilegierte Altbestandteile der sogenannten InfoStudio-Module enthalten. Diese prüfen Eingaben nur unzureichend: Weder von Nutzern kontrollierte Dateipfade noch übergebene Benutzerkontext-Werte werden ausreichend validiert. Dadurch kann ein Angreifer Pfadangaben so manipulieren, dass er auf Dateien des Servers zugreift, die ihm eigentlich nicht zugänglich sein sollten. Zusätzlich lässt sich über die manipulierbaren Kontextangaben erreichen, dass Vorgänge unter einer anderen als der vorgesehenen Identität ausgeführt werden – der Angreifer handelt also mit fremden, möglicherweise höheren Rechten. In Kombination bedeutet das ein Auslesen sensibler Serverinhalte und eine Umgehung der vorgesehenen Rechtetrennung. Da die verantwortlichen Module aus Alt-Funktionalität stammen und mit erhöhten Privilegien laufen, sind sie auch dann ein Risiko, wenn sie im Betrieb gar nicht aktiv genutzt werden.