Betroffen ist der Datenbankserver Progress MarkLogic Server. Bestimmte XQuery-Funktionen höherer Ordnung, die andere Funktionen oder Ausdrücke als Argument entgegennehmen, werten vom Benutzer kontrollierte Werte in einem erhöhten Sicherheitskontext aus. Ein Angreifer, der Abfragen an den Server stellen darf, kann dadurch eigene Inhalte so einschleusen, dass sie mit höheren Rechten ausgeführt werden, als ihm eigentlich zugewiesen wurden. Das Ergebnis ist eine Rechteausweitung: Der Angreifer kann Aktionen durchführen oder auf Daten zugreifen, die ihm durch die vergebenen Berechtigungen verwehrt sein sollten. Der Kern des Problems liegt darin, dass die Trennung zwischen dem Rechtekontext des aufrufenden Nutzers und dem erhöhten Ausführungskontext bei diesen Funktionsaufrufen nicht sauber eingehalten wird.