PT-2024-30941 · Onlyoffice · Onlyoffice Docs

Anton Fabricius · Publicado 2024-09-09 · Atualizado 2025-07-03 · CVE-2024-44085

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do ONLYOFFICE Docs anteriores à 8.1.0

Descrição

O problema está relacionado a uma falha de script entre sites (XSS) no ONLYOFFICE Docs, que ocorre por meio de um ataque ao objeto GeneratorFunction em uma macro. Isso está relacionado ao uso de uma expressão de função de invocação imediata.

Recomendações

Para versões anteriores à 8.1.0, atualize para a versão 8.1.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de macros no ONLYOFFICE Docs até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-44085

Produtos afetados

Onlyoffice Docs

Referências · 10

• 🔥 https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2023-027.txt · Exploit
• https://syss.de/pentest-blog/cross-site-scripting-schwachstelle-in-onlyoffice-docs-syss-2023-027 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-44085 · Nota de Segurança
• https://t.me/cvenotify/93989 · Publicação no Telegram
• https://t.me/cvenotify/127558 · Publicação no Telegram
• https://onlyoffice.com · Nota
• https://twitter.com/CVEnew/status/1833228209007063341 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1833285403094171746 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-44085 · Aviso do Fabricante
• https://t.me/cvedetector/5134 · Publicação no Telegram