| Nombre del plugin | ONLYOFFICE DocSpace |
|---|---|
| Tipo de vulnerabilidad | Scripting entre sitios (XSS) |
| Número CVE | CVE-2024-11750 |
| Urgencia | Baja |
| Fecha de publicación de CVE | 2026-02-03 |
| URL de origen | CVE-2024-11750 |
XSS almacenado autenticado (Colaborador) en ONLYOFFICE DocSpace (<= 2.1.1) — Lo que los propietarios del sitio deben hacer ahora
Resumen: Una vulnerabilidad de Cross‑Site Scripting (XSS) almacenada en las versiones de ONLYOFFICE DocSpace ≤ 2.1.1 (CVE‑2024‑11750) permite a un usuario autenticado con privilegios de Colaborador almacenar cargas útiles de script que se ejecutan en los navegadores de otros usuarios. La versión 2.1.2 contiene la solución. Este aviso proporciona un resumen técnico conciso, escenarios de ataque realistas, técnicas de detección y pasos claros de mitigación para propietarios y administradores de sitios — con opciones prácticas cuando la actualización inmediata no es posible.
Tabla de contenido
- Descripción general: qué sucedió
- Resumen técnico: cómo funciona la vulnerabilidad
- Escenarios de ataque realistas e impacto
- Versiones afectadas y contexto CVE / CVSS
- Pasos inmediatos para administradores de sitios
- Cómo detectar si has sido objetivo
- Cómo mitigar cuando no puedes actualizar de inmediato
- Fortalecimiento a largo plazo y mejores prácticas
- Cómo el parcheo virtual ayuda de inmediato
- Comandos prácticos y fragmentos de código (apéndice)
- Notas finales y cronograma recomendado
Descripción general: qué sucedió
El 3 de febrero de 2026 se divulgó públicamente un problema de Cross‑Site Scripting (XSS) almacenado en ONLYOFFICE DocSpace. La vulnerabilidad (CVE‑2024‑11750) permite a un Colaborador (un usuario autenticado con privilegios limitados) enviar contenido que luego se renderiza sin suficiente saneamiento o codificación, lo que resulta en la ejecución de scripts cuando otro usuario ve la página o entrada de documento afectada. El autor del complemento lanzó un parche en la versión 2.1.2.
Este aviso está escrito para propietarios y administradores de sitios de WordPress — especialmente equipos en Hong Kong que gestionan sitios de múltiples autores, intranets o plataformas de aprendizaje donde las cuentas de Colaborador son comunes. Lee esto y actúa rápidamente: la solución es simple (actualizar), pero los controles interinos reducen la exposición mientras pruebas y despliegas el parche.
Resumen técnico: cómo funciona la vulnerabilidad
El XSS almacenado ocurre cuando los datos controlados por el atacante se almacenan en el servidor y luego se renderizan en páginas sin la validación, saneamiento y codificación de salida adecuados.
- Privilegio requerido: Colaborador (puede crear contenido pero típicamente no puede publicar o gestionar complementos).
- Tipo de vulnerabilidad: Cross‑Site Scripting almacenado (XSS persistente).
- Activador: Un Colaborador inyecta una carga útil en los campos que el complemento almacena (título, descripción, comentarios, metadatos). Esos campos se muestran posteriormente textualmente en vistas de administrador o públicas.
- Riesgo de explotación: If an admin or other high‑privilege user views the payload, the script executes in that user’s browser context, allowing cookie/token theft, privileged actions via authenticated requests, or workspace compromise.
- Solución: Actualización a ONLYOFFICE DocSpace 2.1.2: el parche asegura la sanitización/codificación adecuada de los campos afectados.
Escenarios de ataque realistas e impacto
El XSS almacenado es persistente y puede ser utilizado como arma cuando usuarios de mayor privilegio lo activan. Ejemplos:
- Compromiso de la cuenta de administrador: Un Contribuyente planta un script en la descripción de un documento. Cuando un administrador abre el documento, el script exfiltra tokens de sesión a un atacante y permite la toma de control del sitio.
- Desfiguración de contenido o desinformación: El marcado inyectado añade banners o ventanas emergentes engañosas en páginas editoriales, dañando la reputación.
- Encadenamiento de CSRF: El script realiza solicitudes en segundo plano a los puntos finales de administración, cambiando configuraciones o creando usuarios si las protecciones del punto final son débiles.
- Cambio en la cadena de suministro: El script localiza IDs de documentos internos, claves API u otros elementos sensibles de la interfaz de usuario y los filtra.
Incluso si la explotación requiere que un usuario privilegiado vea el contenido, el riesgo es significativo para los flujos de trabajo editoriales donde los administradores revisan regularmente las presentaciones.
Versiones afectadas y contexto CVE / CVSS
- Afectados: ONLYOFFICE DocSpace ≤ 2.1.1
- Corregido en: 2.1.2
- CVE: CVE‑2024‑11750
- CVSS v3.1: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L (puntuación ~6.5)
Notas sobre el vector: el atacante necesita acceso a la red y una cuenta de Contribuyente. Un usuario privilegiado debe ver o interactuar con el contenido malicioso (UI:R). El alcance es C: el impacto puede cruzar límites de privilegio.
Pasos inmediatos para los administradores del sitio (reducción de riesgo más rápida)
- Actualizar el plugin (recomendado): Aplicar ONLYOFFICE DocSpace 2.1.2 lo antes posible. Probar en staging antes de producción cuando sea posible.
- Si no puedes actualizar de inmediato: mitigaciones a corto plazo:
- Suspender temporalmente o eliminar cuentas de Contribuyente no confiables que no puedas validar.
- Cambiar los roles de los Colaboradores a Suscriptor o a un rol personalizado más restringido hasta que se aplique el parche.
- Hacer cumplir la moderación de contenido: requerir borradores y aprobación de administrador/editor antes de que el contenido enviado sea visto por usuarios con privilegios más altos.
- Aplicar parches virtuales con un WAF: Si la actualización se retrasa, implementar reglas de WAF para bloquear posibles cargas útiles de XSS en los puntos finales del plugin (ver sugerencias de reglas a continuación). El parcheo virtual puede detener los intentos de explotación antes de que lleguen a la lógica de la aplicación.
- Escanear en busca de contenido malicioso: Search posts, postmeta, comments, and plugin metadata for XSS markers such as
- Rotate admin credentials if compromise suspected: Force password resets, invalidate sessions, and rotate any exposed tokens.
- Audit high‑privilege actions: Review recent plugin/theme changes, new users, and scheduled tasks for signs of compromise.
How to detect whether you’ve been targeted
Detection combines automated scanning with manual review.
- Database search for script tags (quick): Use WP‑CLI or direct DB queries (backup first). Example commands:
# Find posts containing
