CVE-2026-22249: Docmost: escrita arbitrária de arquivos na importação de ZIP (ZipSlip)

Visão geral

O Docmost é uma plataforma de wiki e documentação colaborativa de código aberto. O registro descreve um problema do tipo ZipSlip na funcionalidade de importação de ZIP: os nomes dos arquivos dentro dos pacotes importados não são validados, de modo que entradas podem ser gravadas em locais fora do diretório pretendido. A fraqueza é classificada como CWE-22 (Path Traversal). A correção está disponível na versão 0.24.0.

Impacto

Um atacante que consiga enviar um arquivo ZIP malicioso pela funcionalidade de importação pode, em tese, gravar arquivos em locais arbitrários do servidor, dentro das permissões do processo.
A NVD classifica a falha como crítica (9.8, CVSS 3.1, vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). O GitHub atribui 7.1 pela mesma versão do CVSS.
As consequências reais dependem da configuração do servidor, dos privilégios do processo e dos locais graváveis.

Produtos e versões afetadas

Docmost (produto listado como Docmost Docmost) a partir de 0.21.0 até antes de 0.24.0.
As fontes consultadas indicam que a versão 0.24.0 ou posterior contém a correção.

Status de exploração

O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA. Não há confirmação de exploração ativa nas fontes consultadas.
Os dados SSVC do registro indicam exploração em nível de prova de conceito e automação como não. Isso descreve a maturidade de exploração disponível, não ataques confirmados.
A probabilidade EPSS no registro é 0.00557 (percentil 0.45705).

Correção e mitigação

Atualize o Docmost para a versão 0.24.0 ou posterior, conforme a correção referenciada no aviso do fornecedor e nas notas de lançamento.
Até a atualização, restrinja quem pode usar a funcionalidade de importação de ZIP e revise importações vindas de fontes não confiáveis.
Execute a aplicação com o mínimo de privilégios necessário, para limitar a gravação de arquivos.
O registro não descreve uma solução alternativa específica; qualquer medida provisória deve ser confirmada com o fornecedor.

Detecção

Revise os logs do servidor quanto a operações de importação e a arquivos criados fora dos diretórios esperados de importação ou armazenamento.
Monitore a criação ou alteração de arquivos em diretórios da aplicação que normalmente não são gravados pelo wiki.
Audite as contas com acesso à função de importação, já que o registro indica que não há interação do usuário necessária.

Limitações das informações disponíveis

O registro não traz uma descrição técnica detalhada do caminho de exploração, e esta análise não acrescenta essa descrição.
As pontuações CVSS diferem entre a NVD (9.8) e o GitHub (7.1); ambas são apresentadas conforme fornecidas.
A data EPSS do registro (2026-10-23) é posterior à data de publicação e deve ser verificada na fonte antes de ser usada.
Não se sabe, a partir do registro, se existe alguma solução alternativa além da atualização.

Perguntas frequentes

Quais versões do Docmost são afetadas?

O registro lista o Docmost a partir de 0.21.0 até antes de 0.24.0 como afetado.

Existe correção?

Sim. O registro indica que a falha foi corrigida na versão 0.24.0, e há referência a um commit de correção e às notas de lançamento.

Há exploração ativa conhecida?

O registro mostra que a falha não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.