MarkLogic : deux failles de délégation divulguées le 12 octobre

Faits annoncés

Progress a publié le 12 octobre 2026 les fiches CVE-2026-85947 et CVE-2026-85948 concernant MarkLogic Server. La première décrit un défaut d’autorisation permettant à un compte doté de droits de gestion des forests de créer un administrateur persistant. La seconde décrit une injection XQuery dans un ancien chemin de l’API de gestion, accessible avec des privilèges de niveau manage-user.

Les fiches visent les branches 11.x avant 11.3.7 et 12.x avant 12.1.0. Les notes de l’éditeur datent ces deux releases corrigées du 10 septembre. La divulgation d’octobre est donc distincte de la disponibilité des correctifs. Aucun accès anonyme généralisé ni exploitation active n’est déduit de ces deux fiches.

Sources : fiche CNA Progress CVE-2026-85947 ; fiche CVE-2026-85948.

Impacts immédiats — analyse

Pour une équipe exploitant MarkLogic, les délégations de gestion et la version installée doivent être examinées ensemble. Une délégation limitée peut devenir un chemin vers des droits plus étendus si la version est concernée. Cela ne prouve pas qu’un compte ou un serveur particulier a été compromis.

À un an — hypothèses conditionnelles

Si les droits délégués et les preuves de maintenance sont réexaminés régulièrement, l’équipe pourrait mieux identifier les écarts lors d’une prochaine alerte. Le suivi porterait sur les rôles justifiés et les exceptions corrigées, sans garantie d’absence de vulnérabilité.

Actions à envisager

L’administrateur peut relever les versions et consulter les notes de migration de la branche retenue.
Le responsable des accès peut examiner les droits forest-management et manage-user effectivement accordés.
L’équipe de sécurité peut rechercher les comptes administratifs inexpliqués et préserver les traces disponibles.

Incertitudes et limites

Cette revue porte sur les deux fiches citées, pas sur l’ensemble des 31 vulnérabilités de l’annonce. Aucun serveur, rôle ou scénario d’exploitation client n’a été testé.

Proposition automatique corrigée par Codex contre les fiches primaires de Progress et les dates de ses releases. Les analyses et perspectives restent conditionnelles.

Sources

CVE-2026-85947 et CVE-2026-85948 — fiches CNA Progress publiées le 12 octobre 2026.
Notes MarkLogic 11 ; notes MarkLogic 12 — releases corrigées du 10 septembre 2026.
Relais The Hacker News — signal Surveyor du 13 octobre, rédaction du 25 octobre.