Secuno
ENNL
Boek demo

CVE-2021-3199

ONLYOFFICE Docs Server Path Traversal

9.8 KRITIEKActief misbruikt (CISA KEV)Publieke exploitEPSS 19.4%
  1. Gepubliceerd26 jan 2021
  2. Toegevoegd aan CISA KEV8 okt 2026
  3. Hersteldeadline11 okt 2026
Actief misbruikt (CISA KEV)

ONLYOFFICE Docs contains a path traversal vulnerability that can occur when JWT is used, via a /.. sequence in an image upload parameter and could allow for remote code execution.

Toegevoegd aan KEV: 8 okt 2026Federale hersteldeadline: 11 okt 2026

Beschrijving

Directory traversal with remote code execution can occur in /upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a /.. sequence in an image upload parameter.

CVSS 3.1-ontleding

Attack vectorNetwork
Attack complexityLow
Privileges requiredNone
User interactionNone
ScopeUnchanged
ConfidentialityHigh
IntegrityHigh
AvailabilityHigh
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Getroffen producten

Onlyoffice Document Server< 5.6.3

Herstel

Opgelost in
Onlyoffice Document Server≥ 5.6.3

Referenties

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

CVE-2026-599768.1
ConvertX is a self-hosted file conversion service. Prior to 0.18.0, the ImageMagick…
CVE-2026-859538.5
Progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7…
CVE-2026-783558.7
A path traversal vulnerability in the OTRS SendSupportBundle functionality allows an…
CVE-2026-876908.8
The Metasploit Framework post module post/apple_ios/gather/ios_image_gather is affected…
CVE-2026-1089028.1
pH7Builder (pH7 Social Dating CMS) before 18.5.0 contains a path traversal…
CVE-2026-1058929.8
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')…

Veelgestelde vragen

Wordt CVE-2021-3199 actief misbruikt?

Ja. CVE-2021-3199 staat in de CISA KEV-catalogus, toegevoegd op 8 okt 2026.

Hoe ernstig is CVE-2021-3199?

CVE-2021-3199 heeft een CVSS 3.1-basisscore van 9.8, beoordeeld als kritiek. EPSS schat een exploitkans van 19.4%.

Welke producten zijn getroffen door CVE-2021-3199?

Getroffen producten zijn onder meer Onlyoffice Document Server.

Hoe verhelp ik CVE-2021-3199?

Werk getroffen software bij naar een opgeloste versie, bijvoorbeeld Onlyoffice Document Server 5.6.3 of later, en controleer daarna dat er geen getroffen versies meer in uw inventaris staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2021-3199 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Omdat deze op de CISA KEV-lijst staat, markeert Secuno elk getroffen asset automatisch als topprioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werktPlan een demo

Ontvang elke maandag Patch dit eerst

Vijf kwetsbaarheden die er deze week toe doen, gerangschikt op daadwerkelijk misbruik. Heldere taal, één e-mail, geen spam.

Afmelden kan met één klik onderaan elk nummer. Wij verwerken uw gegevens zoals beschreven in ons privacybeleid.

Data uit de NVD, CISA KEV-catalogus en FIRST EPSS. CVSS 3.1-basisscore getoond indien beschikbaar.