Betroffen ist der Datenbankserver MarkLogic Server von Progress. Dort wird von Benutzern eingereichter Code, der über bestimmte Auswertungspfade der REST- und XDBC-Schnittstellen ausgeführt wird, nicht ausreichend von der Verarbeitung der HTTP-Anfragen, der Antworten und des zugehörigen Sitzungszustands getrennt. Dadurch kann der eingeschleuste Code auf Bestandteile zugreifen oder sie beeinflussen, die eigentlich außerhalb seines Zuständigkeitsbereichs liegen. Ein Angreifer, der Code über einen dieser Pfade zur Ausführung bringen kann, ist damit in der Lage, Aktionen auszulösen, für die er keine Berechtigung besitzt, oder eine bestehende, bereits authentifizierte Sitzung eines anderen Nutzers zu übernehmen beziehungsweise zu manipulieren. Da Sitzungen die Identität angemeldeter Benutzer tragen, kann der Angreifer auf diesem Weg fremde Rechte für sich nutzen und die Trennung zwischen den Benutzern des Servers aushebeln.