Betroffen ist der Datenbankserver MarkLogic Server von Progress, genauer die Verarbeitung von SAML-Anmeldeinformationen. SAML ist ein Verfahren, bei dem ein externer Identitätsdienst die Anmeldung bestätigt und dem Server eine signierte Bestätigung – eine sogenannte Assertion – übermittelt. Aufgrund eines Fehlers in der Authentifizierungsprüfung akzeptiert der Server unter bestimmten Umständen eine Assertion, die er eigentlich zurückweisen müsste. Ein Angreifer aus dem Netz, der über keinerlei gültige Zugangsdaten verfügt, kann dadurch eine Anmeldung vortäuschen und sich unberechtigten Zugriff auf den Server und die dort gespeicherten Daten verschaffen. Die Lücke wirkt sich nur auf Installationen aus, die tatsächlich SAML zur Authentifizierung einsetzen; Umgebungen mit anderen Anmeldeverfahren sind davon nicht betroffen.