CVE-2026-9191: Isolamento insuficiente de código fornecido pelo usuário no Progress MarkLogic Server
O Progress MarkLogic Server apresenta uma falha crítica, CVE-2026-9191, em que código fornecido pelo usuário executado por determinados caminhos REST e XDBC não é isolado de forma suficiente do estado HTTP e das sessões. O CNA atribui pontuação 9.6 pelo CVSS 3.1, e as faixas afetadas vão de 11.0.0 até antes de 11.3.7 e de 12.0.0 até antes de 12.1.0. Nas fontes consultadas não há exploração confirmada, e o registro não lista entradas de correção.
Visão geral
A CVE-2026-9191 afeta o Progress MarkLogic Server. O registro descreve isolamento insuficiente do código fornecido pelo usuário, executado por determinados caminhos de avaliação REST e XDBC, em relação ao estado de requisições HTTP, respostas HTTP e sessões. O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.6.
Impacto
- Segundo o registro, um atacante capaz de executar código por um caminho afetado poderia realizar ações não autorizadas ou comprometer uma sessão autenticada.
- O vetor CVSS indica vetor de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário exigida, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro classificam o impacto técnico como total e a automatização como não.
Produtos e versões afetadas
- Progress Software MarkLogic Server de 11.0.0 até antes de 11.3.7.
- Progress Software MarkLogic Server de 12.0.0 até antes de 12.1.0.
O registro não contém entradas de correção. Pelas faixas afetadas, versões a partir de 11.3.7 na linha 11 e a partir de 12.1.0 na linha 12 ficam fora dos intervalos informados, mas confirme com o boletim do fornecedor.
Status de exploração
O registro não está listado no KEV. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS é 0.00207, com percentil 0.10286, datada de 2026-10-23.
Correção e mitigação
- Consulte o boletim do fornecedor indicado nas referências e identifique implantações do MarkLogic Server nas faixas afetadas.
- Planeje a atualização para releases fora das faixas afetadas, priorizando ambientes acessíveis pela internet ou multilocatário.
- Até a correção, restrinja o acesso aos endpoints REST e XDBC a redes e contas confiáveis e revise os controles de sessão e autenticação.
Orientações de detecção
- Analise os logs do servidor em busca de requisições REST e XDBC de avaliação incomuns, especialmente de origens ou contas inesperadas.
- Monitore alterações inesperadas na atividade de sessões autenticadas e em ações administrativas.
Limitações das informações disponíveis
O registro não inclui nome da CWE, entradas de correção nem detalhes de exploração. O boletim do fornecedor não foi analisado integralmente para este conteúdo. Os endpoints e configurações específicos afetados não são descritos além dos caminhos de avaliação REST e XDBC.
Perguntas frequentes
A CVE-2026-9191 está sendo explorada ativamente?
O registro não está listado no KEV e nas fontes consultadas não há exploração confirmada. O monitoramento deve continuar, pois a pontuação CVSS é crítica.
Quais versões do MarkLogic Server são afetadas?
O registro lista a faixa de 11.0.0 até antes de 11.3.7 e a faixa de 12.0.0 até antes de 12.1.0. Confirme a versão exata da sua instalação no boletim do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.