Betroffen ist die Query Console von Progress MarkLogic Server, die Weboberfläche zum Absetzen von Abfragen und Skripten gegen die Datenbank. Die Anwendung erzeugt ihre CSRF-Tokens nicht ausreichend zufällig, sondern vorhersagbar. Dieser Schutzmechanismus soll eigentlich verhindern, dass fremde Webseiten im Namen eines angemeldeten Nutzers Anfragen an die Anwendung stellen. Weil die Tokens erratbar sind, läuft der Schutz ins Leere: Gelingt es einem Angreifer aus der Ferne, einen bereits in der Query Console angemeldeten Benutzer auf eine präparierte Webseite zu locken, kann diese Seite im Hintergrund gültige Anfragen an den Server absetzen. Da die Query Console serverseitigen Code ausführt, lässt sich auf diesem Weg beliebiger Code mit den Rechten des Opfers auf dem Server ausführen – bei administrativen Konten also mit weitreichendem Zugriff auf Daten und Konfiguration der Datenbank.