La dernière version de la suite bureautique en ligne ONLYOFFICE 10.0 corrige 44 vulnérabilités et renforce le contrôle des outils d'IA et les paramètres de sécurité par défaut

OnlyOffice Docs est une suite bureautique en ligne et un écosystème d'applications collaboratives. Elle propose des éditeurs en ligne pour les documents texte, les feuilles de calcul, les présentations, les formulaires et les PDF, ainsi qu'une plateforme de collaboration en salles. ONLYOFFICE est disponible à la fois sous forme de service cloud et de logiciel auto-hébergé, avec des options de déploiement pour les serveurs Linux et Windows, ainsi que des clients de bureau pour Windows, macOS et Linux, et des applications mobiles pour iOS et Android.

En octobre 2026, Ascensio System SIA, l'éditeur de ONLYOFFICE, a annoncé la disponibilité générale de Docs 10.0, une nouvelle version majeure de sa suite bureautique open source. Avec cette version, l'éditeur d'ONLYOFFICE a publié la mise à jour qui corrige plus de 40 vulnérabilités dans la suite bureautique. Elle apporte également aux administrateurs un contrôle plus précis des outils d'IA et active par défaut plusieurs mécanismes de protection.

La sécurité fait partie des priorités de chaque version d'ONLYOFFICE, et l'équipe de développement s'attache à corriger rapidement les vulnérabilités signalées. La version 10.2 revêt une importance particulière pour les organisations qui traitent des fichiers sensibles ou ouvrent régulièrement des documents provenant de sources externes. Elle contribue à protéger les documents, les utilisateurs et l'infrastructure dès le déploiement.

Principales vulnérabilités corrigées

Les correctifs concernent la conversion de documents, le traitement des fichiers PDF, les macros, les intégrations, les fonctionnalités d'IA et la configuration du serveur. Ils peuvent être répartis en six grandes catégories.

Serveur et système de fichiers. Certaines failles pouvaient permettre à des attaquants de lire ou de modifier des fichiers sur le serveur, voire d'obtenir des privilèges supérieurs à ceux qui leur étaient normalement accordés. Ces problèmes concernaient notamment l'extraction d'archives, la conversion de fichiers EPUB et les outils de maintenance du serveur.

Authentification et contrôle des accès. Plusieurs failles pouvaient permettre un accès non autorisé à des documents et à des services. Dans un cas, des organisations partageant un même serveur pouvaient s'authentifier sans qu'un secret de sécurité ait été configuré. Dans un autre, un jeton d'accès à l'éditeur pouvait être utilisé dans des outils qui ne devaient pas l'accepter. Une troisième vulnérabilité permettait de contourner les contrôles d'autorisation lors de l'impression de fichiers PDF.

Analyse des fichiers et sécurité de la mémoire. Plusieurs erreurs de gestion de la mémoire dans le traitement des formats DOC, XLS, PPT, PDF, XPS, EMF+ et WMF pouvaient provoquer des plantages ou exposer le contenu de la mémoire pendant la conversion des fichiers.

Intégrations (WOPI). WOPI est un protocole standard qui permet de connecter ONLYOFFICE à d'autres plateformes. La mise à jour corrige une faille susceptible de permettre à un attaquant de prendre le contrôle de sessions d'édition partagée. Elle résout également une vulnérabilité de type SSRF (Server-Side Request Forgery), qui pouvait inciter le serveur à envoyer des requêtes vers le réseau interne d'une organisation. D'autres correctifs empêchent la divulgation de paramètres du serveur et la délivrance de jetons à des utilisateurs anonymes.

Macros et scripts. Les macros s'exécutent dans un environnement isolé (sandbox), conçu pour les séparer du reste du système. La mise à jour corrige deux méthodes permettant de sortir de cet environnement, dont l'une pouvait exposer les cookies de session. Elle bloque également l'exécution de code JavaScript malveillant dissimulé dans des fichiers PDF.

Fonctionnalités d'IA. La mise à jour corrige une vulnérabilité SSRF dans le service de connexion aux fournisseurs d'IA. Elle résout également plusieurs failles de type XSS (Cross-Site Scripting) qui pouvaient permettre l'exécution de scripts malveillants dans des documents partagés via la fonction d'IA ou le champ de nom de l'assistant IA.

La version 10.0 corrige par ailleurs plusieurs autres vulnérabilités XSS dans les éditeurs. Elle met également à jour des composants tiers intégrés à l'image Docker, notamment OpenSSL, afin de corriger les vulnérabilités CVE-2022-3602 et CVE-2022-3786.

Mise à jour de sécurité de Node.js

ONLYOFFICE a également réagi rapidement aux vulnérabilités de sécurité divulguées par le projet Node.js en octobre 2026. Pour y remédier, les développeurs ont mis à jour Node.js vers la version 24.22.1 dans les versions Ubuntu, CentOS, Windows et Docker de ONLYOFFICE Docs Enterprise et ONLYOFFICE Docs Developer.

Des paramètres plus sûrs par défaut

La version 10.0 renforce la sécurité des nouvelles intégrations dès leur mise en place.

L'authentification par jeton (JWT), qui permet de vérifier chaque requête au moyen d'un jeton numérique, est désormais activée par défaut. La gestion des jetons est également plus stricte : le système rejette les jetons lorsqu'un secret de sécurité est vide ou absent.

Lorsqu'une intégration fournit des informations permettant de vérifier l'intégrité d'un fichier, le serveur contrôle chaque fichier téléchargé afin de s'assurer qu'il n'a pas été modifié. Enfin, les intégrations reposant sur WOPI n'acceptent plus les règles générales de type « autoriser tout le monde ». Les administrateurs doivent désormais définir explicitement chaque hôte de confiance.

Un contrôle renforcé des fonctionnalités d'IA

Dans les éditions Enterprise et Developer, les administrateurs peuvent configurer les fournisseurs d'IA directement depuis le panneau d'administration. Les utilisateurs disposent ensuite d'outils d'IA prêts à l'emploi, sans avoir à saisir leurs propres clés API.

Une fois la configuration enregistrée, les utilisateurs peuvent uniquement accéder aux fournisseurs et aux modèles approuvés par les administrateurs. Ils ne peuvent ni ajouter leurs propres clés API ni changer de modèle.

Les administrateurs peuvent également désactiver les outils d'IA pour une configuration spécifique de l'éditeur ou pour l'ensemble du serveur. Cette possibilité peut notamment être utile aux organisations qui proposent différents niveaux de service à leurs clients ou qui doivent maintenir certains déploiements sans fonctionnalités d'IA pour des raisons de conformité.

Qui doit effectuer la mise à jour ?

ONLYOFFICE recommande à tous ses clients de passer à la version 10.0.2 dès que possible. Les installations sur site et auto-hébergées ne bénéficient pas de mises à jour automatiques : les administrateurs doivent donc procéder eux-mêmes à la mise à niveau.

Les déploiements Docker de Document Server doivent être considérés comme prioritaires, tout comme les instances intégrées via WOPI ou connectées à des plateformes tierces. Les installations mutualisées, les serveurs qui convertissent des documents provenant de sources externes et les organisations qui utilisent ONLYOFFICE Desktop Editors sur les ordinateurs de leurs employés sont également invitées à effectuer cette mise à jour sans délai.

Déclaration et remerciements

« Les éditeurs de documents traitent des fichiers provenant de nombreuses sources. Chaque analyseur, chaque intégration et chaque point d'accès à l'IA doit donc être considéré comme une surface d'attaque potentielle », déclare Galina Goduhina, directrice commerciale chez ONLYOFFICE. « La version 10 corrige ces problèmes dans les éditeurs en ligne et de bureau. Nous encourageons vivement tous les utilisateurs disposant d'une installation auto-hébergée à effectuer la mise à jour dès que possible et remercions les chercheurs qui nous ont signalé ces vulnérabilités de manière responsable. »

ONLYOFFICE