PT-2025-25284 · Onlyoffice · Onlyoffice Docs

Publicado 2025-02-14 · Atualizado 2025-12-06 · CVE-2025-5301

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do Software Vulnerável e Versões Afetadas ONLYOFFICE Docs (DocumentServer) versões 8.3.1 e anteriores

Descrição O ONLYOFFICE Docs (DocumentServer) está suscetível a uma falha de Cross-Site Scripting (XSS) refletido ao manipular arquivos através do protocolo WOPI. Um atacante pode injetar scripts maliciosos enviando solicitações HTTP POST especialmente elaboradas. Essas solicitações são então refletidas na resposta HTML do servidor, potencialmente permitindo a execução de código arbitrário no contexto do navegador do usuário. O problema decorre da falta de sanitização adequada da estrutura da página web.

Recomendações As versões do ONLYOFFICE Docs (DocumentServer) anteriores à 8.3.1 são afetadas. Atualize o ONLYOFFICE Docs (DocumentServer) para uma versão superior à 8.3.1.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2025-06823

CVE-2025-5301

Produtos afetados

Onlyoffice Docs

Referências · 16

• 🔥 https://sec-consult.com/vulnerability-lab/advisory/reflected-cross-site-scripting-in-onlyoffice-docs-documentserver · Exploit
• https://github.com/ONLYOFFICE/DocumentServer/blob/master/CHANGELOG.md#832 · Nota
• https://t.me/cvenotify/126041 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1933084173285073199 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/1997123862765654230 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1933081239528841723 · Publicação no Twitter
• https://twitter.com/dailycve/status/1993082326775902212 · Publicação no Twitter
• https://r.sec-consult.com/onlyoffice · Nota
• https://bdu.fstec.ru/vul/2025-06823 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-5301 · Nota de Segurança
• http://seclists.org/fulldisclosure/2025/Jun/18 · Nota
• https://osv.dev/vulnerability/CVE-2025-5301 · Aviso do Fabricante
• https://twitter.com/dailycve/status/1970246692344672388 · Publicação no Twitter
• https://t.me/cvenotify/125497 · Publicação no Telegram
• https://t.me/cvetracker/26074 · Publicação no Telegram