Betroffen ist der Progress MarkLogic Server, genauer dessen Verarbeitung von SAML-Daten. SAML ist ein XML-basiertes Format, das für Anmelde- und Authentifizierungsvorgänge zwischen Systemen verwendet wird. Der zuständige Parser ist so konfiguriert, dass er externe DTDs beziehungsweise externe Entitäten aus den übergebenen XML-Dokumenten verarbeitet. Ein Angreifer kann dies ausnutzen, indem er präparierte SAML-Daten einschleust, die Verweise auf externe Ressourcen enthalten. Der Server löst diese Verweise beim Verarbeiten auf und baut dadurch ungewollte Netzwerkverbindungen auf oder gibt Inhalte preis, die eigentlich nicht nach außen gelangen sollten. Daraus können der Abfluss interner Informationen sowie Zugriffe auf Systeme im internen Netz resultieren, die von außen sonst nicht erreichbar wären – ein klassisches Muster bei unsicher konfigurierten XML-Verarbeitungskomponenten.