Onlyoffice · Onlyoffice Docs · CVE-2023-50883
**Nome do software vulnerável e versões afetadas**
Versões do ONLYOFFICE Docs anteriores à 8.0.1
**Descrição**
O problema está relacionado a uma correção incorreta de uma falha anterior, o que permite a execução de código entre sites (Cross-Site Scripting, XSS) devido a uma macro ser uma expressão de função de invocação imediata (IIFE). Isso permite uma fuga da sandbox ao chamar diretamente o construtor do objeto `Function`.
**Recomendações**
Para versões anteriores à 8.0.1, atualize para a versão 8.0.1 ou posterior para resolver o problema. Como solução temporária, considere restringir a execução de macros para minimizar o risco de exploração.