plaincve:~$

// 威脅簡報

CVE-2021-3199已遭實際利用

ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用

CVSS
9.8 CRITICAL
CISA KEV
2026-10-08
弱點類型
CWE-22
主題
Web 應用 · 基礎設施

PlainCVE 團隊 · 發布 2026-10-13 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-13(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

ONLYOFFICE Document Server 早於 5.6.3(不含 5.6.3)的版本,圖片上傳功能有路徑穿越問題,可能導致遠端執行程式碼;HKCERT 指出已遭實際利用。

誰會中使用 ONLYOFFICE Document Server(ONLYOFFICE Docs)早於 5.6.3(不含 5.6.3)的版本、啟用了 JWT,且 /upload 端點可從網路連到的組織。
後果攻擊者可能利用圖片上傳的路徑穿越,在伺服器上執行程式碼。CISA 的評估認為技術影響是「完全」。
現在該做什麼把 ONLYOFFICE Document Server 升級到 5.6.3 以上(廠商 CHANGELOG 列出 5.6.3 修補此問題;HKCERT 也如此建議)。來源沒有提到升級以外的暫時緩解方法。
受影響版本早於 5.6.3 的版本,不含 5.6.3(CVE 紀錄寫 before 5.6.3、NVD 範圍為 versionEndExcluding 5.6.3;OSV 自動整理的清單從 5.6.2 回溯到 3.0.0 與 Online-Editors-2.5)
修好的版本5.6.3 以上(依廠商 CHANGELOG 5.6.3;HKCERT 也如此建議)
CVSS 向量
顯示完整向量CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間點
  • 首次公開 2020-08-17
CISA KEV已列入(2026-10-08),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?
  1. 01確認版本與曝險條件

    Document Server 版本早於 5.6.3(不含 5.6.3)、啟用了 JWT、/upload 端點可從網路連到,三者同時成立就屬於受影響範圍。

    步驟 1
  2. 02沒有官方偵測指引

    目前沒有任何來源提供偵測方法或入侵指標;七國聯合公告的 PDF 內容無法讀取。PlainCVE 建議:若曾執行舊版且對外開放,檢查上傳目錄以外是否出現不明檔案,以及伺服器上是否有異常的程序。

    步驟 3步驟 4
MITIGATE修補 / 緩解先修補;還不能修補時先擋住
  1. 01升級到 5.6.3 以上

    HKCERT 建議升級到 5.6.3 或更新版本。後續版本預期已包含此修補(PlainCVE 的推論)。

    步驟 3步驟 4
  2. 02無法升級:依 CISA 停止使用;或限制對外曝險(PlainCVE 的建議,非來源提供的緩解方法)

    來源沒有提到升級以外的緩解方法。CISA 要求聯邦機構依廠商指示處理,若沒有緩解方式就停止使用該產品。

    步驟 1
RESPOND應變發現入侵跡象時
  1. 01把曾暴露的舊版伺服器視為可能已遭入侵

    PlainCVE 的建議:這個漏洞可導致遠端執行程式碼,且已被利用。若舊版曾對外開放,應調查、從乾淨環境重建,並更換伺服器上的 JWT 密鑰與其他憑證。

    步驟 4
HARDEN強化長期避免同類問題
  1. 01使用強度足夠、非預設的 JWT 密鑰

    官方文件說明 ONLYOFFICE Docs 用伺服器密鑰簽署的 JWT 來驗證請求。PlainCVE 的一般性建議(來源未證實與本漏洞的關係):不要使用預設或易猜的密鑰。

    步驟 2
  2. 02文件伺服器不要直接暴露在網際網路

    PlainCVE 的建議:只讓需要的應用程式連到文件伺服器。

    步驟 1
完整修復步驟與說明
  1. 升級。 廠商 CHANGELOG 的 5.6.3 段落列出「Fix Path Traversal vulnerability via image upload params (Bug #46113)」,也就是廠商自己確認 5.6.3 修補了這個問題;HKCERT 也建議升級到 5.6.3 以上。後續版本預期已包含此修補(PlainCVE 的推論);直接升到目前的版本是我們的建議。
  2. 修補對應關係。 OSV 把修補對應到 commit 0187bea803abdd2b2b6ad8168272d77e27739add,但這是從 CPE 範圍自動推得,沒有廠商來源確認。第三方打包者 Cloudron 的 5.6.3 更新說明也提到同一項修正(Bug #46113),與廠商 CHANGELOG 一致。
  3. 沒有暫時緩解方法。 來源沒有提到升級以外的作法。CISA 要求聯邦機構依廠商指示處理,若無緩解方式就停止使用。
  4. 升級前後都要調查。 已遭利用的漏洞,只升級不會清掉已經被放進去的東西;若舊版曾對外開放,請依防禦手冊的「回應」步驟處理。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用: 1. 找到可連線的 ONLYOFFICE 伺服器 /upload 端點 → 2. 送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段 → 3. 伺服器沒有正確限制路徑(路徑穿越,CWE-22) → 4. 在伺服器上執行程式碼CVE-2021-3199 · ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用攻擊者你的系統找到可連線的 ONLYOFFICE 伺服器 /upload 端點 — 伺服器版本須早於 5.6.3(不含 5.6.3),且有啟用 JWT(一種用來證明請求合法的簽章權杖)。 1找到可連線的ONLYOFFICE 伺服器/upload 端點送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段 — CVE 描述指出問題出在圖片上傳參數裡的 /.. 序列。來源沒有說明攻擊者是否需要知道伺服器的 JWT 簽章密鑰。 2送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段伺服器沒有正確限制路徑(路徑穿越,CWE-22) — 這就是 CWE-22 路徑穿越:程式沒有把檔名限制在允許的目錄內。 3伺服器沒有正確限制路徑(路徑穿越,CWE-22)在伺服器上執行程式碼 — CVE 描述指出可導致遠端執行程式碼;HKCERT 另列出可繞過安全限制。 4在伺服器上執行程式碼攻擊路徑可在此擋下PlainCVE · plaincve.date/vulns/cve-2021-3199-onlyoffice-docs-upload-path-traversal · CC BY 4.0
ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用: 1. 找到可連線的 ONLYOFFICE 伺服器 /upload 端點 → 2. 送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段 → 3. 伺服器沒有正確限制路徑(路徑穿越,CWE-22) → 4. 在伺服器上執行程式碼CVE-2021-3199 · ONLYOFFICE DocumentServer 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用找到可連線的 ONLYOFFICE 伺服器 /upload 端點 — 伺服器版本須早於 5.6.3(不含 5.6.3),且有啟用 JWT(一種用來證明請求合法的簽章權杖)。 1攻擊者找到可連線的 ONLYOFFICE 伺服器/upload 端點送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段 — CVE 描述指出問題出在圖片上傳參數裡的 /.. 序列。來源沒有說明攻擊者是否需要知道伺服器的 JWT 簽章密鑰。 2攻擊者送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段伺服器沒有正確限制路徑(路徑穿越,CWE-22) — 這就是 CWE-22 路徑穿越:程式沒有把檔名限制在允許的目錄內。 3你的系統伺服器沒有正確限制路徑(路徑穿越,CWE-22)在伺服器上執行程式碼 — CVE 描述指出可導致遠端執行程式碼;HKCERT 另列出可繞過安全限制。 4攻擊者在伺服器上執行程式碼攻擊路徑可在此擋下PlainCVE · CC BY 4.0plaincve.date/vulns/cve-2021-3199-onlyoffice-docs-upload-path-traversal
圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。
  1. 攻擊者

    找到可連線的 ONLYOFFICE 伺服器 /upload 端點

    伺服器版本須早於 5.6.3(不含 5.6.3),且有啟用 JWT(一種用來證明請求合法的簽章權杖)。

    防禦: 不要讓文件伺服器的上傳端點直接暴露在不受信任的網路(PlainCVE 的建議)。

  2. 攻擊者

    送出圖片上傳請求,參數中夾帶「往上一層目錄」的路徑片段

    CVE 描述指出問題出在圖片上傳參數裡的 /.. 序列。來源沒有說明攻擊者是否需要知道伺服器的 JWT 簽章密鑰。

    防禦: 使用強度足夠、非預設的 JWT 密鑰(PlainCVE 的判斷,來源未證實)。

  3. 你的系統

    伺服器沒有正確限制路徑(路徑穿越,CWE-22)

    這就是 CWE-22 路徑穿越:程式沒有把檔名限制在允許的目錄內。

    防禦: 升級到 5.6.3 以上。

  4. 攻擊者

    在伺服器上執行程式碼

    CVE 描述指出可導致遠端執行程式碼;HKCERT 另列出可繞過安全限制。

    防禦: 升級到 5.6.3 以上;以最小權限的帳號執行服務。

影響範圍

條件是否受影響
ONLYOFFICE Document Server 早於 5.6.3(不含 5.6.3)+ 啟用 JWT + /upload 端點可從網路連到受影響
ONLYOFFICE Document Server 5.6.3 以上已修補(依廠商 CHANGELOG 5.6.3、HKCERT 與 NVD 版本範圍)
早於 5.6.3(不含 5.6.3)但未使用 JWTCVE 描述只說「使用 JWT 時」會發生,來源沒有說明其他情況

CISA 在 KEV 清單中把產品列為 ONLYOFFICE「Docs」,也就是 Document Server。OSV 依 CPE 範圍自動整理的受影響清單,從 5.6.2 一路回溯到 3.0.0 與 Online-Editors-2.5;問題是從哪個版本開始的,沒有來源說明(OSV 只填了佔位值「0」)。

原理

ONLYOFFICE Document Server 是可以自行架設的線上文件編輯伺服器。問題出在伺服器處理圖片上傳參數的 /upload 端點。官方文件說明,ONLYOFFICE Docs 用 JWT(一種帶簽章的權杖,用來證明請求合法)來防止未授權存取與參數被竄改。

依 CVE 描述,在啟用 JWT 的情況下,圖片上傳參數中的 /..(「往上一層目錄」)序列會造成路徑穿越,可導致遠端執行程式碼。這類錯誤稱為路徑穿越,對應 CWE-22。HKCERT 另列出「繞過安全限制」這項影響。PlainCVE 的解讀(來源未證實):伺服器可能因此把檔案寫到原本資料夾以外的位置。

有問題的思路(概念示意,不是原始程式碼):

展開程式碼範例(python)
# 直接把外部傳入的名稱接到上傳目錄後面
path = UPLOAD_DIR + "/" + name_from_request
save(path, data)

修好的思路:

展開程式碼範例(python)
# 正規化路徑後,確認結果仍在上傳目錄內,否則拒絕
path = normalize(join(UPLOAD_DIR, name_from_request))
if not path.startswith(UPLOAD_DIR + "/"):
    reject()
save(path, data)

關於 JWT 密鑰(PlainCVE 的判斷): 沒有來源說明攻擊者是否需要知道或猜到伺服器的 JWT 簽章密鑰。PlainCVE 的一般性建議是不要使用預設或易猜的密鑰,但這與本漏洞風險高低的關係沒有來源證實。另外,CVSS 3.1 評分認為「不需要權限」,這與「使用 JWT 時」的條件有些出入,來源也沒有說明認證模式。

時間軸

日期事件
2020-08-17廠商以 commit adff7d7(「Add 5.6.3 changelog」)在 CHANGELOG 公開列出 5.6.3 修補圖片上傳參數的路徑穿越(Bug #46113),同日發布 5.6.3 版(首次公開)
2021-01-21CVE 編號保留
2021-01-22MITRE 公開 CVE 紀錄
2021-01-26NVD 收錄
2026-10-08CISA 列入已知遭利用漏洞清單
2026-10-11CISA 給聯邦機構的修補期限

利用從何時開始、是否曾在修補前被利用,沒有來源提到。

延伸閱讀

  • 評分: NVD 與 CISA-ADP 的 CVSS 3.1 都是 9.8(嚴重);NVD 的舊版 CVSS 2 為 7.5(高)。兩者差異來自評分版本不同。CISA 的 SSVC 評估把技術影響列為「完全」、可自動化、利用狀態為「進行中」。
  • EPSS: GitHub 資料顯示 EPSS(未來被利用機率的估計)約 0.19,位於第 97.3 百分位。
  • 公開利用程式: NVD 把部分參考連結標為 Exploit,表示有公開的概念驗證程式碼。
  • 歸因(新聞報導): The Hacker News 稱 CISA 是在中國關聯組織 Flax Typhoon 利用後將它列入;Security Affairs 則依七國聯合公告,把它與 Integrity Technology Group 相關的中國關聯行動者連結。聯合公告 PDF 內容無法讀取,本頁未再確認。
  • 勒索軟體: CISA 把勒索軟體利用標為「未知」。
  • 指令依據不一致: KEV 紀錄引用 BOD 26-04,Security Affairs 則寫 BOD 22-01;本頁以 KEV 紀錄本身為主要來源。

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿2026-10-13 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見 政策.

來源

  1. CVE / NVD / OSVCVE-2021-3199 Record (CVE Services API) · MITRE / CVE Program, 2021-01-22 · 查閱 2026-10-13
  2. CVE / NVD / OSVNVD - CVE-2021-3199 · NIST, 2021-01-26 · 查閱 2026-10-13
  3. 安全公告CISA KEV catalog entry for CVE-2021-3199 (snapshot) · CISA, 2026-10-08 · 查閱 2026-10-13
  4. 安全公告ONLYOFFICE Docs Remote Code Execution Vulnerability · HKCERT · 查閱 2026-10-13
  5. 其他OSV - CVE-2021-3199 · OSV · 查閱 2026-10-13
  6. 修補 commit / 版本ONLYOFFICE DocumentServer CHANGELOG.md · ONLYOFFICE (GitHub), 2020-08-17 · 查閱 2026-10-13
  7. 修補 commit / 版本ONLYOFFICE-DocumentServer-5.6.3 release (GitHub API) · ONLYOFFICE (GitHub), 2020-08-17 · 查閱 2026-10-13
  8. 其他OnlyOffice package updates · Cloudron Forum · 查閱 2026-10-13
  9. 廠商說明ONLYOFFICE Docs API FAQ: Security · ONLYOFFICE · 查閱 2026-10-13
  10. 其他GitHub Advisory Database entry for CVE-2021-3199 · GitHub · 查閱 2026-10-13
  11. 新聞報導Flax Typhoon exploits five flaws · The Hacker News · 查閱 2026-10-13
  12. 新聞報導U.S. CISA adds ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts, and ISC BIND flaws to its Known Exploited Vulnerabilities catalog · Security Affairs · 查閱 2026-10-13

媒體簡報

一句話

ONLYOFFICE Docs 是可自行架設的線上文件編輯伺服器。它在早於 5.6.3(不含 5.6.3)的版本中,啟用 JWT 時,/upload 的圖片上傳功能有路徑穿越漏洞;若該端點可從網路連到,可能讓攻擊者在伺服器上執行程式碼。廠商在 2020 年 8 月 17 日發布 5.6.3 版時,已在 CHANGELOG 公開列出這個路徑穿越的修補,CVE 紀錄則在 2021 年 1 月發布;但美國 CISA 直到 2026 年 10 月 8 日才把它列入已知遭利用漏洞清單;新聞報導將相關攻擊與中國關聯的駭客組織連結。

關鍵數字

嚴重度
CVSS 3.1 9.8(NVD) services.nvd.nist.gov
列入 CISA KEV
2026-10-08(聯邦機構期限 2026-10-11) cisa.gov
修補版本
5.6.3 以上 github.com
首次公開(廠商 CHANGELOG/5.6.3 發布)
2020-08-17 api.github.com
CVE 公開
2021-01-22 cveawg.mitre.org
攻擊者歸因(新聞報導)
The Hacker News:Flax Typhoon thehackernews.com

已確認

  • 早於 5.6.3(不含 5.6.3)的版本、啟用 JWT 時,/upload 的圖片上傳參數有路徑穿越,可導致遠端執行程式碼。
  • CISA 已列入已知遭利用漏洞清單,HKCERT 也指出正遭實際利用。
  • 升級到 5.6.3 以上可修補(依廠商 CHANGELOG 5.6.3、HKCERT 與 NVD 版本範圍)。

尚未確認 / 說法不一

  • 攻擊者是否需要知道伺服器的 JWT 密鑰,沒有來源說明。
  • 利用從何時開始、是否曾在修補前被利用(零時差),來源都沒有提到。
  • KEV 紀錄引用 BOD 26-04,Security Affairs 則寫 BOD 22-01,兩者不一致。
  • 歸因說法來自新聞報導:The Hacker News 指向 Flax Typhoon,Security Affairs 指向與 Integrity Technology Group 有關的中國關聯行動者。

可引用的一句話

六年前就公開修補的漏洞,今天仍在被利用:修補只有在真的裝上時才算數。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。 完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用》。PlainCVE。https://plaincve.date/vulns/cve-2021-3199-onlyoffice-docs-upload-path-traversal(查閱日期:YYYY-MM-DD)
BibTeX
@misc{cve20213199onlyofficedocsuploadpathtraversal2026,
  title  = {ONLYOFFICE Document Server 圖片上傳路徑穿越:可導致遠端執行程式碼,已遭實際利用},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2021-3199-onlyoffice-docs-upload-path-traversal},
  note   = {更新於 2026-10-13}
}