Múltiples vulnerabilidades en OpenKM Community Edition de OpenKM

Fecha de publicación 13/11/2026

Identificador

INCIBE-2026-895

Importancia

4 - Alta

Recursos Afectados

OpenKM Community Edition, versiones 6.3.3 a 6.3.13 y 7.0.3; componentes FormUtils / LocalEntityResolver.
OpenKM Community Edition, versiones 6.3.12 y 6.3.13; gestión de definiciones de workflow. La rama 7.x no está afectada por esta vulnerabilidad, ya que no incluye el motor jBPM.

Descripción

INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad alta que afectan a OpenKM Community Edition de Open Knowledge Management System S.L. (OpenKM), un sistema de gestión documental. Las vulnerabilidades han sido descubiertas por Carlos Alejandro Smith Tay (Las3rs).

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v4.0, vectores del CVSS y tipos de vulnerabilidad CWE:

CVE-2026-112181: CVSS v4.0: 8.3 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-611
CVE-2026-112182: CVSS v4.0: 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-862

Solución

Actualizar OpenKM CE 7.0.3 a 7.0.4, ya publicada. Según el fabricante, se ha corregido el resolver de entidades y se han deshabilitado las entidades externas generales y de parámetros, activando FEATURE_SECURE_PROCESSING. Para las versiones 6.3.3 a 6.3.13, la corrección se incorporará en 6.3.14, pendiente de publicación; también se eliminan las peticiones HTTP para DTD no locales.
Actualizar a OpenKM CE 6.3.14 cuando esté disponible. El fabricante indica que el registro y borrado de definiciones de proceso requerirán el rol de administrador en la capa de negocio, cubriendo REST, SOAP y la interfaz de administración.

Como mitigación temporal del acceso al workflow, el fabricante propone bloquear en el proxy inverso o firewall el acceso de usuarios no administradores a /OpenKM/services/rest/workflow/* y /OpenKM/services/OKMWorkflow. Si no se utilizan los servicios web, bloquear /OpenKM/services/* completo.

El fabricante recomienda migrar a OpenKM CE 7.0.4. Antes de migrar desde 6.3.x, debe tenerse en cuenta que 7.x no incluye el motor de workflow jBPM.

Detalle

CVE-2026-112181: vulnerabilidad de restricción inadecuada de referencias a entidades XML externas en OpenKM Community Edition. El procesamiento XML de FormUtils / LocalEntityResolver no restringe adecuadamente la resolución de recursos externos. Un atacante remoto autenticado con el rol ROLE_USER puede explotar el fallo mediante una petición REST. En la rama 6.3.x permite provocar peticiones HTTP controladas por el atacante (SSRF); en 7.0.3 permite leer archivos locales y acceder a recursos HTTP internos desde el servidor.
CVE-2026-112182: vulnerabilidad de ausencia de autorización en la gestión de definiciones de workflow de OpenKM Community Edition. Los endpoints REST registerProcessDefinition y runProcessDefinition requieren autenticación, pero no comprueban los roles en WorkflowService ni en las capas inferiores. Un atacante con el rol ROLE_USER puede registrar y ejecutar una definición de proceso con scripts BeanShell, permitiendo ejecutar código Java y comandos del sistema operativo con los privilegios del servicio. En la imagen Docker oficial el proceso se ejecuta como root.

CVE