Fecha de emisión: 9 de octubre de 2026
CVE ID: CVE-2021-3199
Severidad: CRÍTICA — CVSS 3.1: 9.8
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-22: Recorrido de directorios (path traversal)
Producto afectado: ONLYOFFICE Docs (Document Server) 5.1.5 a 5.6.2
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha límite CISA: 11 de octubre de 2026). Explotada por actores vinculados al gobierno de China según el aviso conjunto AA26-281A
Fuente: NVD / CISA (KEV y aviso conjunto AA26-281A) / ONLYOFFICE
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de recorrido de directorios (path traversal) en ONLYOFFICE Docs (anteriormente ONLYOFFICE Document Server), registrada como CVE-2021-3199 y calificada con 9.8 de 10 en la escala CVSS 3.1. Cuando el servidor utiliza JWT (JSON Web Token), un atacante remoto puede incluir la secuencia /.. en un parámetro de carga de imágenes del endpoint /upload y escribir archivos en ubicaciones arbitrarias del servidor, lo que puede derivar en la ejecución remota de código, por ejemplo mediante la colocación de un webshell. Existen pruebas de concepto públicas desde 2021.
El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV), lo que confirma que está siendo explotada activamente. Ese mismo día, CISA, el FBI, la NSA y socios internacionales publicaron el aviso conjunto AA26-281A, que la incluye entre las vulnerabilidades explotadas con éxito por actores vinculados al gobierno de China y apoyados por la empresa Integrity Technology Group, cuyas tácticas coinciden con las de los grupos conocidos como Flax Typhoon, Ethereal Panda y Red Juliett. Según el aviso, estos actores buscan acceso prolongado a redes de sectores de infraestructura crítica en distintas regiones, atacando principalmente equipos y servicios expuestos a Internet que suelen estar poco monitoreados.
El modelo EPSS estima en 8 % la probabilidad de que sea explotada en los próximos 30 días, lo que la ubica por encima del 94 % del resto de vulnerabilidades evaluadas.
Descripción técnica publicada en NVD (en inglés): «Directory traversal with remote code execution can occur in /upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a /.. sequence in an image upload parameter.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| ONLYOFFICE Docs / Document Server (Community, Enterprise y Developer) | 5.1.5 a 5.6.2 | 5.6.3 o posterior (se recomienda la versión estable más reciente, 9.4.0 a la fecha de emisión) |
| Plataformas que despliegan su propio ONLYOFFICE Docs (p. ej., ONLYOFFICE Workspace o integraciones con Nextcloud, ownCloud u otras) | Según la versión del Document Server instalado | Actualizar el componente Document Server a 5.6.3 o posterior |
Nota: la rama 5.x está fuera de soporte. Se recomienda actualizar a la rama vigente publicada por ONLYOFFICE.
III. Acciones Requeridas
1. Actualizar inmediatamente
Actualizar ONLYOFFICE Docs a la versión 5.6.3 o posterior, que corrige el fallo (corrección «Fix Path Traversal vulnerability via image upload params», bug #46113). Preferiblemente, actualizar a la versión estable más reciente.
2. Mitigar inmediatamente si no es posible parchear
Evitar que el servidor de documentos sea accesible directamente desde Internet: permitir conexiones únicamente desde la plataforma integrada o el proxy inverso autorizado. Si se dispone de WAF o proxy inverso, bloquear peticiones al endpoint /upload cuyos parámetros contengan secuencias de recorrido de directorios (../, /.., %2e%2e, %2f).
3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. El aviso AA26-281A indica actividad desde al menos enero de 2021, por lo que la revisión debe abarcar un periodo amplio. Se recomienda:
- Revisar los registros del servidor web y de ONLYOFFICE en busca de peticiones a
/uploadcon secuencias/..o equivalentes codificadas. - Buscar archivos nuevos o modificados fuera de los directorios esperados del Document Server (en Linux, por defecto
/var/www/onlyoffice/documentserver) y en directorios publicados por servidores web. - Revisar procesos hijos inesperados de los servicios de ONLYOFFICE (Node.js), como
sh,bash,curlowget, y conexiones salientes no habituales. - Importar en SIEM, EDR y firewall los indicadores de compromiso (IoC) publicados por CISA para AA26-281A (formatos STIX JSON y XML), que incluyen cientos de direcciones IP y dominios. CISA advierte que algunos indicadores datan de 2016 y deben validarse antes de bloquearlos.
Webshells identificados en el aviso AA26-281A (buscar por nombre y por hash SHA-256):
| Archivo | SHA-256 |
|---|---|
| b374.php | 72c6af6a4be99e31c4a7a0aa4f01750792788e7f6f9749243a9f2c47c14a708f |
| back.pl | 456586ababa08f70216c4459f4d6375676166ebfddd98a33b447ceb5099e8dc5 |
| error.jsp | 2f5c406eb64ad8902c8e30610d43fd3efc05a14cdb8fb158818953eaf3dc6a81 |
| file_back.aspx | 5782ff2c835c88cc1ee521d2e8c523cfad73db3f9a29c93b40c4223f0338ade9 |
| gf.phtml | 0e6fecb2d369b0eae63731616a3daada52036634885ab1b85b115af6bc5bcb86 |
| yaml-payload.jar | 36f3b7645609ef40444dbc68f01d26c543d67689eda4937272ea5cfa4df1b522 |
Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- ONLYOFFICE. DocumentServer CHANGELOG – versión 5.6.3. https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
- ONLYOFFICE. Versiones de DocumentServer. https://github.com/ONLYOFFICE/DocumentServer/releases
- CISA, FBI, NSA y socios internacionales. Aviso conjunto AA26-281A: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data. https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- CISA. Indicadores de compromiso AA26-281A (STIX JSON). https://www.cisa.gov/sites/default/files/2026-10/AA26-281A-stix.json
- CISA. Indicadores de compromiso AA26-281A (STIX XML). https://www.cisa.gov/sites/default/files/2026-10/AA26-281A-stix.xml
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2021-3199. https://nvd.nist.gov/vuln/detail/CVE-2021-3199
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124