Plateforme
nodejs
Composant
docmost
Corrigé dans
0.24.1
Une vulnérabilité d'écriture de fichiers arbitraires a été découverte dans Docmost, un logiciel de wiki collaboratif et de documentation open-source. Cette faille, affectant les versions de 0.21.0 à 0.23.9, permet à un attaquant d'écrire des fichiers arbitraires sur le système via la fonctionnalité d'importation ZIP (ZipSlip). La vulnérabilité est corrigée dans la version 0.24.0.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'écrire des fichiers arbitraires sur le serveur Docmost. Cela peut conduire à une prise de contrôle complète du système, à l'exécution de code malveillant, à la modification de fichiers de configuration critiques ou à la compromission des données sensibles stockées dans le wiki. Le manque de validation du nom de fichier dans le code TypeScript (apps/server/src/integrations/import/utils/file.utils.ts) est la cause principale de cette faille. Une attaque réussie pourrait potentiellement imiter des vulnérabilités similaires à celles observées dans d'autres logiciels utilisant des fonctionnalités d'importation de fichiers, où des chemins de fichiers malformés sont exploités pour accéder à des zones non autorisées du système de fichiers.
Cette vulnérabilité a été rendue publique le 15 janvier 2026. Il n'y a pas d'indication actuelle d'une exploitation active dans la nature sauvage, mais la simplicité de l'exploitation et la disponibilité de la vulnérabilité en font une cible potentielle pour les attaquants. Le score CVSS de 7.1 (HIGH) indique une probabilité d'exploitation élevée. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information concernant l'exploitation de cette vulnérabilité.
Organizations using Docmost for internal documentation or collaboration, particularly those running vulnerable versions (0.21.0 - 0.23.9) on publicly accessible servers, are at significant risk. Shared hosting environments where multiple users have access to Docmost installations are also particularly vulnerable.
• nodejs: Monitor process execution for suspicious file creation or modification within the Docmost installation directory. Use ps aux | grep docmost to identify running processes and find /path/to/docmost -type f -mmin -60 to check for recently modified files.
• generic web: Examine access logs for POST requests to the Zip Import endpoint with unusual file extensions or filenames. Use grep -i "zip import" /var/log/apache2/access.log to identify relevant requests.
• generic web: Check response headers for errors related to file uploads or unexpected file content. Use curl -I <docmosturl>/zipimport to inspect headers.
disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 8%)
CISA SSVC
Vecteur CVSS
La mesure de mitigation la plus importante est de mettre à jour Docmost vers la version 0.24.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement la fonctionnalité d'importation ZIP. En attendant la mise à jour, il est recommandé de restreindre les autorisations d'écriture sur le répertoire d'importation ZIP. Surveillez les journaux du serveur pour détecter toute tentative d'écriture de fichiers suspects. L'utilisation d'un pare-feu d'application web (WAF) peut aider à bloquer les requêtes malveillantes ciblant cette vulnérabilité. Après la mise à jour, vérifiez l'intégrité des fichiers Docmost pour vous assurer qu'ils n'ont pas été compromis.
Actualice Docmost a la versión 0.24.0 o superior. Esta versión corrige la vulnerabilidad de escritura arbitraria de archivos (ZipSlip) al validar correctamente los nombres de archivo durante la importación de archivos ZIP. La actualización previene la posible ejecución de código malicioso mediante la manipulación de archivos.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-22249 is a HIGH severity vulnerability in Docmost versions 0.21.0 through 0.23.9 that allows attackers to write arbitrary files via the Zip Import Feature, potentially leading to code execution.
You are affected if you are running Docmost versions 0.21.0 through 0.23.9. Upgrade to version 0.24.0 or later to resolve the vulnerability.
Upgrade Docmost to version 0.24.0 or later. As a temporary workaround, restrict file upload capabilities and implement strict file type validation.
As of the current date, there are no reports of active exploitation targeting CVE-2026-22249.
Refer to the Docmost project's official website or security advisories for the latest information and updates regarding CVE-2026-22249.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.