שתי פגיעויות בציון CVSS 9.9 בשרת מסדי הנתונים MarkLogic מאפשרות למשתמש עם הרשאות ניהול מוגבלות להשיג שליטה מנהלית מלאה ומתמשכת. התיקונים זמינים מאז 10 בספטמבר, והחשיפה רלוונטית בעיקר לארגונים שמאצילים הרשאות ניהול.
| מזהים | CVE-2026-85947, CVE-2026-85948 |
| מוצר וגרסאות מושפעות | MarkLogic 11.x לפני 11.3.7; MarkLogic 12.x לפני 12.1.0 |
| חומרה | 9.9 (קריטית) לשתיהן |
| מנוצל בפועל | אין דיווח על ניצול; אינן ב-KEV נכון ל-13 באוקטובר |
| סטטוס תיקון | תוקן ב-11.3.7 וב-12.1.0 |
מה קרה
הראשונה, CVE-2026-85947, דורשת הרשאות ניהול של forests ומאפשרת ליצור חשבון מנהל קבוע. בתיקון, הרשאה מנהלית על forest כבר לא מספיקה כדי לשייך אותו למסד נתונים. השנייה, CVE-2026-85948, היא הזרקת XQuery בנתיב ישן ב-Management API, ודורשת הרשאות ברמת manage-user.
שתי הפגיעויות דווחו דרך Bugcrowd על ידי חוקר בכינוי rexnets. התיקונים מאוגוסט (11.3.6 ו-12.0.3) אינם מכסים אותן, ולקו 12 אין גרסת 12.0 מתוקנת.
נקודות לשים לב
- שדרג ל-11.3.7 או ל-12.1.0; מי שעל 12.0.x צריך לעבור ל-12.1.0.
- לפני השדרוג, עבור על הרשאות forest ומסדי נתונים שהואצלו, ובדוק אילו תפקידים מחזיקים ב-
xdmp-eval-in. - המקור אינו מציין workaround למי שאינו יכול לשדרג, ולכן שקול לצמצם זמנית את מספר המשתמשים עם הרשאות ניהול.
- המקור לא מבהיר אם שדרוג מסיר חשבון מנהל שנוצר לפני כן, אז בדוק ידנית חשבונות מנהל לא מוכרים.
מקורות: The Hacker News · CVE.org
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
