Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en OpenKM Community Edition de OpenKM

Resumen de la alerta

INCIBE ha coordinado la publicación de dos vulnerabilidades de severidad alta en OpenKM Community Edition, el sistema de gestión documental de Open Knowledge Management System S.L. (OpenKM). Los fallos afectan al procesamiento de XML y a la gestión de definiciones de workflow.

Las vulnerabilidades, identificadas como CVE-2026-112181 y CVE-2026-112182, pueden ser explotadas por atacantes remotos autenticados que dispongan del rol ROLE_USER. La segunda vulnerabilidad puede permitir la ejecución de código Java y comandos del sistema operativo con los privilegios del servicio de OpenKM.

La información publicada indica Explotación: No para ambos CVE. Por tanto, existen vulnerabilidades que deben tratarse con prioridad, pero no se han comunicado ataques activos o explotación confirmada en la información disponible.

Recursos afectados

• OpenKM Community Edition 6.3.3 a 6.3.13, en los componentes FormUtils / LocalEntityResolver, afectado por CVE-2026-112181.
• OpenKM Community Edition 7.0.3, afectado por CVE-2026-112181.
• OpenKM Community Edition 6.3.12 y 6.3.13, en la gestión de definiciones de workflow, afectado por CVE-2026-112182.

La rama 7.x no está afectada por CVE-2026-112182, ya que no incorpora el motor de workflow jBPM.

Descripción de las vulnerabilidades

CVE-2026-112181 es una vulnerabilidad de restricción inadecuada de referencias a entidades XML externas, clasificada como CWE-611. Tiene una puntuación CVSS v4.0 de 8.3 y el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N.

El problema se encuentra en el procesamiento XML de FormUtils / LocalEntityResolver. La aplicación no restringe adecuadamente la resolución de recursos externos durante el análisis de XML. Un usuario autenticado con ROLE_USER podría remitir una petición REST especialmente diseñada para forzar el acceso del servidor a recursos externos.

En las versiones 6.3.x afectadas, el fallo puede utilizarse para provocar peticiones HTTP controladas por el atacante, un escenario de Server-Side Request Forgery o SSRF. En OpenKM CE 7.0.3, además, podría permitir la lectura de archivos locales y el acceso a recursos HTTP internos desde el servidor donde se ejecuta OpenKM.

CVE-2026-112182 corresponde a una ausencia de autorización en la administración de definiciones de workflow y está clasificada como CWE-862. Su puntuación es CVSS v4.0 de 8.7, con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.

Los endpoints REST registerProcessDefinition y runProcessDefinition requieren autenticación, pero no validan los roles en WorkflowService ni en las capas inferiores. Como consecuencia, un usuario con ROLE_USER puede registrar y ejecutar una definición de proceso que incluya scripts BeanShell. Esto puede habilitar la ejecución de código Java y de comandos del sistema operativo con los permisos del servicio de OpenKM.

Impacto y nivel de riesgo

Ambas vulnerabilidades presentan una severidad alta y requieren que el atacante disponga de una cuenta autenticada con el rol ROLE_USER. No requieren interacción de otro usuario según los vectores CVSS publicados.

• La explotación de CVE-2026-112181 podría emplearse para inducir al servidor a realizar solicitudes HTTP o, en OpenKM CE 7.0.3, acceder a archivos locales y recursos HTTP internos.
• La explotación de CVE-2026-112182 podría permitir la ejecución de código y comandos del sistema operativo con los privilegios asignados al servicio de OpenKM.
• En la imagen Docker oficial, el proceso de OpenKM se ejecuta como root, por lo que una explotación de CVE-2026-112182 en ese contexto tendría un impacto especialmente relevante.

La prioridad debe ser mayor en entornos que utilicen versiones afectadas, dispongan de cuentas ROLE_USER y tengan habilitadas las funciones de workflow de la rama 6.3.x.

Solución y medidas recomendadas

Para OpenKM CE 7.0.3, la solución publicada es actualizar a OpenKM CE 7.0.4. Según el fabricante, esta versión corrige el resolver de entidades, deshabilita las entidades externas generales y de parámetros, activa FEATURE_SECURE_PROCESSING y evita peticiones HTTP para DTD no locales.

Para las versiones 6.3.3 a 6.3.13, la corrección para CVE-2026-112181 se incorporará en OpenKM CE 6.3.14, que se encuentra pendiente de publicación. Esta versión también introducirá controles de autorización para que el registro y borrado de definiciones de proceso requieran el rol de administrador en la capa de negocio, incluyendo REST, SOAP y la interfaz de administración.

Mientras se publica OpenKM CE 6.3.14, el fabricante propone limitar temporalmente el acceso de usuarios no administradores a los siguientes servicios mediante el proxy inverso o firewall:

• /OpenKM/services/rest/workflow/*
• /OpenKM/services/OKMWorkflow

Si la organización no utiliza los servicios web de OpenKM, el fabricante indica que puede bloquearse el acceso a /OpenKM/services/* completo.

El fabricante recomienda migrar a OpenKM CE 7.0.4. Antes de realizar una migración desde la rama 6.3.x, debe considerarse que la rama 7.x no incluye el motor de workflow jBPM.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de OpenKM Community Edition y comprobar si ejecutan las versiones afectadas.
2. Actualizar las instalaciones de OpenKM CE 7.0.3 a la versión 7.0.4.
3. Planificar la actualización de los entornos 6.3.x a OpenKM CE 6.3.14 cuando esté disponible.
4. Aplicar las restricciones temporales indicadas por el fabricante sobre los endpoints de workflow cuando se utilice una versión 6.3.x afectada.
5. Revisar la necesidad de mantener cuentas con el rol ROLE_USER, dado que ambas vulnerabilidades requieren autenticación con ese rol.
6. Valorar cuidadosamente el impacto funcional de una posible migración a la rama 7.0.4 si la organización depende del motor de workflow jBPM presente en la rama 6.3.x.