Múltiples lỗ hổng nghiêm trọng trong OpenKM Community Edition
Các nhà nghiên cứu phát hiện 2 lỗ hổng nghiêm trọng trong OpenKM Community Edition, phiên bản 6.3.3 đến 6.3.13 và 7.0.3. Lỗ hổng CVE-2026-112181 cho phép tấn công SSRF, còn lỗ hổng CVE-2026-112182 cho phép đăng ký và thực thi quy trình công việc với mã Java. Lỗ hổng đã được ghi nhận từ ngày 13/11/2026.
Các nhà nghiên cứu phát hiện 2 lỗ hổng nghiêm trọng trong OpenKM Community Edition, phiên bản 6.3.3 đến 6.3.13 và 7.0.3. Lỗ hổng CVE-2026-112181 cho phép tấn công SSRF, còn lỗ hổng CVE-2026-112182 cho phép đăng ký và thực thi quy trình công việc với mã Java. Lỗ hổng đã được ghi nhận từ ngày 13/11/2026.
Nội dung chính
- OpenKM Community Edition, phiên bản 6.3.3 đến 6.3.13 và 7.0.3
- Có 2 lỗ hổng nghiêm trọng: CVE-2026-112181 và CVE-2026-112182
- Lỗ hổng CVE-2026-112181: SSRF, CVE-2026-112182: đăng ký và thực thi quy trình công việc
- Nhà nghiên cứu Carlos Alejandro Smith Tay phát hiện
- Đã có bản vá cho phiên bản 7.0.4
Chi tiết sự việc
Các nhà nghiên cứu tại INCIBE-CERT đã phát hiện 2 lỗ hổng nghiêm trọng trong OpenKM Community Edition, phiên bản 6.3.3 đến 6.3.13 và 7.0.3. Lỗ hổng CVE-2026-112181 cho phép tấn công SSRF, trong khi lỗ hổng CVE-2026-112182 cho phép đăng ký và thực thi quy trình công việc với mã Java.
Lỗ hổng CVE-2026-112181 được ghi nhận bởi Carlos Alejandro Smith Tay. CVE-2026-112181 cho phép tấn công SSRF, trong khi CVE-2026-112182 cho phép đăng ký và thực thi quy trình công việc.
Lỗ hổng CVE-2026-112181 có CVSS v4.0: 8.3, vectơ CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N, CWE-611. CVE-2026-112182 có CVSS v4.0: 8.7, vectơ CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, CWE-862.
INCIBE đã phối hợp với nhà phát hành để công bố các lỗ hổng. Nhà phát hành đã phát hành bản vá cho phiên bản 7.0.4, đã khắc phục lỗi giải quyết entidades y desactivado entidades externas generales y de parámetros, activando FEATURE_SECURE_PROCESSING.
Đối với phiên bản 6.3.3 đến 6.3.13, bản vá sẽ được tích hợp vào phiên bản 6.3.14, đang chờ công bố. Ngoài ra, đã loại bỏ các yêu cầu HTTP cho DTD không địa phương.
Nhà phát hành khuyên người dùng cập nhật lên OpenKM CE 7.0.4. Trước khi chuyển sang 7.x, cần lưu ý rằng 7.x không bao gồm motor workflow jBPM.
Nhà phát hành đề xuất chặn truy cập vào /OpenKM/services/rest/workflow/* và /OpenKM/services/OKMWorkflow trong proxy inverso hoặc firewall. Nếu không sử dụng các dịch vụ web, chặn /OpenKM/services/* hoàn toàn. Nhà phát hành khuyến nghị chuyển sang OpenKM CE 7.0.4.
Khuyến nghị
- Cập nhật lên phiên bản 7.0.4 của OpenKM CE.
- Kiểm tra và cập nhật các phiên bản cũ.
- Chặn truy cập vào các endpoint không cần thiết.
Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn INCIBE-CERT (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.
🛡️ Thông tin lỗ hổng liên quan (2)
Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AIBản dịch tiêu đề
Vulnerability do thiếu kiểm soát hạn chế đối tượng đến các XML nội dung ngoại vi trong phiên bản Community Edition của OpenKM. Xử lý XML trong LocalEntityResolver của FormUtils không properly giới hạn phân giải các nguồn ngoại vi. Một người tấn công được xác nhận với vai trò ROLE_USER có thể khai thác lỗi này thông qua một yêu cầu REST. Trong phiên bản 6.3.x, điều này cho phép kẻ tấn công khai thác yêu cầu HTTP từ…
Bản dịch tiêu đề
Lỗ hổng không xác minh trong quản lý định dạng quy trình trong OpenKM Community Edition. Các endpoint REST `registerProcessDefinition` và `runProcessDefinition` yêu cầu xác minh nhưng không kiểm tra vai trò trong Service WorkflowService hoặc trong các tầng thấp hơn. Một người tấn công có vai trò `ROLE_USER` có thể đăng ký và thực thi quy trình định dạng chứa các script BeanShell, cho phép họ thực hiện mã Java và c…
Tin tổng hợp tự động từ INCIBE-CERT (Tây Ban Nha) (https://www.incibe.es/incibe-cert). Mỗi bài đều dẫn liên kết tới bài gốc của nguồn.
Bài viết liên quan
Cùng chuyên mục & chủ đề
Nhóm tấn công khai thác lỗ hổng trong UnrealIRCd, CISA cảnh báo
Bê bối tình ái của Jensen Huang phơi bày điểm yếu trong đời tư giới tỷ phú công nghệ
CISA thêm lỗ hổng của Check Point và UnrealIRCd vào danh sách các lỗ hổng đã bị khai thác
