'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Registro de revisiones de seguridad
Registra las revisiones de seguridad realizadas por SetFN, de la más reciente a la más antigua. Cada entrada incluye el alcance de la revisión, los problemas encontrados y el estado de las medidas. Las etiquetas de estado son las mismas que en Estado de revisión de las principales vulnerabilidades.
Para que no se difunda la forma de explotar un problema, el registro describe solo el impacto y las medidas adoptadas, no el procedimiento de reproducción.
2026-10-24 Revisión cruzada con AI y medidas de seguimiento
OpenAI Codex volvió a revisar en modo de solo lectura las correcciones hechas por Claude en las rondas 1 a 3. Se comprobó tanto si el código se había corregido según lo previsto como la usabilidad de las pantallas (UI/UX); cada observación se verificó en el código, solo se corrigieron los defectos reales y Codex revisó la versión corregida de forma repetida, en cinco rondas, hasta que no quedó ningún problema bloqueante. Ese mismo día se atendieron también las tareas pendientes de la tercera ronda (verificación en dos pasos para administradores, reglas de contraseña centradas en la longitud y TinyMCE).
Problemas encontrados y medidas
| Área | Contenido | Estado |
|---|---|---|
| Autenticación | Se añadió a las cuentas de administrador la verificación en dos pasos con app de autenticación (con códigos de recuperación) y se incorporó a la configuración de seguridad la política Exigir verificación en dos pasos a administradores, que obliga a todos los administradores a configurarla. Consulte Configurar la verificación en dos pasos para administradores. | Corregido (pendiente de publicación) |
| Autenticación | Al activar o desactivar la verificación en dos pasos se cierran las demás sesiones de esa cuenta. La política obligatoria se aplica también a las conexiones en tiempo real ya abiertas y a las operaciones MCP en curso, y cambiar la contraseña invalida los pasos de inicio de sesión pendientes. | Corregido (pendiente de publicación) |
| Autenticación | La regla de contraseña predeterminada de los servidores recién instalados pasó a ser un mínimo de 12 caracteres sin exigir combinar tipos de caracteres (NIST SP 800-63B-4). El asistente de instalación y la herramienta de línea de comandos siguen la misma regla; las reglas de los servidores existentes no cambian. | Corregido (pendiente de publicación) |
| Editores | El editor de correos colectivos se sustituyó por Tiptap y se eliminó el editor visual (TinyMCE) de los archivos HTML. Las vulnerabilidades sin corregir que quedaban en TinyMCE 6 ya no tienen efecto. Los archivos HTML se editan únicamente como código fuente. | Corregido (pendiente de publicación) |
| Permisos | Se comprueban los permisos del solicitante en las imágenes que insertan las presentaciones, las hojas de cálculo y la conversión automática, y en el cuerpo de la búsqueda de imágenes similares y de las referencias de las respuestas de AI. Solo quien generó una vista previa de Office puede recibir su resultado. | Corregido (pendiente de publicación) |
| Conversión de documentos | Mediante fórmulas TeX dentro de un documento era posible leer archivos fuera de la carpeta de trabajo. Se bloqueó la lectura de archivos fuera de la carpeta de trabajo. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Al convertir, la estructura del documento se lee por partes y se limita el tamaño de lectura de los documentos protegidos con contraseña. Las herramientas de conversión externas se marcan antes de ejecutarse para cerrarse primero cuando falte memoria. | Corregido (pendiente de publicación) |
| Registros | Se completó el tratamiento de los desbloqueos que solo se realizaban parcialmente y los elementos que faltaban en el registro de auditoría de cambios de configuración. | Corregido (pendiente de publicación) |
| Interfaz web | Se muestra una confirmación al salir con un borrador de correo colectivo sin enviar y al salir sin guardar los códigos de recuperación, y se mejoró la accesibilidad con teclado y lector de pantalla. | Corregido (pendiente de publicación) |
| Autenticación | Cada cuenta tiene ahora una generación de credenciales. Tras cerrar todas las sesiones, cambiar la contraseña o modificar la verificación en dos pasos, las sesiones anteriores y las renovaciones de token e inicios de sesión de la app derivados de ellas dejan de poder usarse, incluso si falla la eliminación de las sesiones. | Corregido (pendiente de publicación) |
| Autenticación | Al cerrar todas las sesiones también se desconectan las conexiones OAuth de MCP realizadas a través de la pantalla de inicio de sesión y consentimiento. Las claves de API creadas por el propio usuario se conservan. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | El bloqueo de las conexiones en tiempo real ya no se retrasa por culpa de conexiones lentas, y el procesamiento de documentos protegidos con contraseña tiene ahora límites de ejecución simultánea y de espera. | Corregido (pendiente de publicación) |
| Autenticación | Si el servidor no puede comprobar temporalmente el estado de la sesión, ya no cierra la sesión del usuario, sino que vuelve a intentarlo. | Corregido (pendiente de publicación) |
Limitaciones restantes
- Como el navegador envía la contraseña convertida en hash, el servidor no puede aplicar directamente la regla de longitud. Las reglas de longitud y composición se comprueban en la pantalla; el bloqueo de contraseñas habituales se realiza en el servidor.
- El estado de aplicación de la política y el estado de espera de la verificación en dos pasos se guardan en la memoria del servidor. Al reiniciar el servidor, los inicios de sesión en curso deben repetirse desde el principio.
2026-10-23 Tercera ronda de revisión de seguimiento
Se incorporaron los elementos pendientes de la segunda ronda de revisión y las recomendaciones de los documentos de estándares internacionales (criterios de contraseña de NIST SP 800-63B-4 y registro de seguridad de OWASP Top 10:2025 A09). Los problemas de permisos se confirmaron primero con pruebas que fallaban en el código anterior a la corrección y después se corrigieron; la versión corregida se volvió a compilar y probar a partir del código fuente recién obtenido.
Problemas encontrados y medidas
| Área | Contenido | Estado |
|---|---|---|
| Permisos | La conversión de documentos (herramienta de conversión de AI, conversión de documentos y vista previa de Office) tomaba las imágenes de toda la carpeta de origen, por lo que imágenes de subcarpetas que el solicitante no podía leer podían entrar en el archivo resultante. Ahora solo se incluyen las imágenes que el solicitante puede leer. | Corregido (pendiente de publicación) |
| Permisos | En la conversión de documentos, las rutas de hojas de estilo y portada escritas en el documento podían hacer que el contenido de otros archivos del servidor entrara en el archivo resultante. Antes de convertir se eliminan las referencias a hojas de estilo y las rutas no seguras. Por ello, los estilos CSS indicados en el documento no se aplican al resultado de la conversión. | Corregido (pendiente de publicación) |
| Permisos | Los resultados de la búsqueda de conocimiento y las referencias de las respuestas de AI mostraban parte del cuerpo del documento solo con el permiso de ver. El cuerpo solo se muestra cuando se tienen los permisos de ver y de descargar; con solo el permiso de ver se muestran únicamente el título y la ubicación. | Corregido (pendiente de publicación) |
| Permisos | Los favoritos, la vista previa y la edición en línea de Office y el historial de edición no volvían a comprobar el límite de acceso de las carpetas de sistema del espacio de equipo ni los permisos actuales. Ahora se vuelven a comprobar en cada solicitud, y el contenido anterior del historial de edición requiere permiso de descarga. | Corregido (pendiente de publicación) |
| Permisos | Los agregados como suma y promedio de las tablas del sitio web (webspace) reflejaban los valores de columnas con lectura restringida, y bastaba el permiso de eliminar filas para eliminar de forma permanente. Las columnas no legibles se excluyen de los agregados, y la eliminación permanente queda limitada a administradores y responsables de despliegue. | Corregido (pendiente de publicación) |
| Automatización | Las automatizaciones y los webhooks podían ejecutarse incluso cuando una acción, como bloquear un documento, había sido denegada. Ahora solo se ejecutan cuando la acción tiene éxito. | Corregido (pendiente de publicación) |
| Configuración | Al aplicar un conjunto de configuración de carpeta podía borrarse la configuración de uso del conocimiento de la carpeta. Ahora se conserva la configuración existente. | Corregido (pendiente de publicación) |
| Autenticación | Al definir una contraseña nueva se bloquean unas 20 000 contraseñas habituales o filtradas (NIST SP 800-63B-4). Se aplica al registro, al cambio y restablecimiento de contraseña, a la creación de cuentas y el restablecimiento de contraseña por administradores, a la herramienta de línea de comandos y al asistente de instalación; iniciar sesión con la contraseña actual no cambia. | Corregido (pendiente de publicación) |
| Registros | Los cambios de administradores en la configuración de seguridad y políticas, los bloqueos y desbloqueos, los cambios de permisos de usuario, la creación y eliminación de cuentas, los restablecimientos de contraseña, la aprobación y el rechazo de dispositivos y los cambios en las políticas de sesión y de verificación de robots (CAPTCHA) se registran en el registro de auditoría. Se registran el administrador que hizo el cambio, la hora, la IP de acceso y los elementos cambiados; no se registran valores secretos como contraseñas o claves. | Corregido (pendiente de publicación) |
| Uso compartido externo | Se corrigió la pantalla para que, aunque un administrador desactive el uso compartido externo, quien creó un enlace pueda consultar y eliminar los enlaces existentes. No se pueden crear enlaces nuevos. | Corregido (pendiente de publicación) |
| Interfaz web | Los nuevos motivos de rechazo del servidor, como el límite de solicitudes de AI o la espera de una descarga comprimida, se muestran como mensajes en el idioma del usuario. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Al abrir un archivo de texto grande (como un CSV de gran tamaño) se cargaba el archivo completo en memoria, por lo que, si varias personas lo abrían a la vez, el servidor podía quedarse sin memoria. Los archivos de más de 16 MB ahora se envían por partes. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Los logotipos de marca y los resúmenes de imágenes de AI decodificaban las imágenes sin comprobar su ancho y alto. Ahora se comprueban primero las dimensiones y las imágenes excesivamente grandes no se decodifican. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Parte del código que procesa correos con límites dañados o anidamiento muy profundo (actualmente sin uso) no tenía límite de profundidad y podía no terminar nunca. Ahora se limita la profundidad de anidamiento y el procesamiento se detiene si se produce un error. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Si los programas de conversión de documentos y de procesamiento de imágenes y vídeo usaban mucha memoria, el servidor SetFN podía ser el que se cerrara en su lugar. Ahora estos programas están marcados para cerrarse primero cuando falte memoria. | Corregido (pendiente de publicación) |
Tareas pendientes
- La verificación en dos pasos para administradores, las reglas de contraseña centradas en la longitud (valor predeterminado de nuevas instalaciones) y la sustitución de TinyMCE, pendientes de esta revisión, se atendieron en la revisión cruzada con AI del 2026-10-24.
2026-10-23 Segunda ronda de revisión
Tras las correcciones de la primera ronda, el mismo día se volvió a revisar todo el sistema. Se comprobó de nuevo que las correcciones de la primera ronda no dejaran huecos y se revisaron con AI (Claude), por áreas, los aspectos no tratados en la primera ronda (alcance de la comprobación de permisos por función, tratamiento de la entrada, límites de permisos de las herramientas de correo, webhooks y AI, interfaz web, y secretos y configuración). Los problemas encontrados se confirmaron con pruebas que fallaban en el código anterior a la corrección antes de corregirlos.
Problemas encontrados y medidas
| Área | Contenido | Estado |
|---|---|---|
| Permisos | En la búsqueda, el árbol de carpetas, los archivos en tiempo real y las herramientas de archivos de AI, un usuario normal podía indicar el área de administración (el espacio personal de todos los usuarios). Ahora solo pueden abrirla los administradores generales. | Corregido (pendiente de publicación) |
| Permisos | Una ruta de archivo podía salirse hacia el espacio personal de otro usuario con un nombre parecido. Se añadió una comprobación de límites al acceso a archivos de todos los espacios. | Corregido (pendiente de publicación) |
| Permisos | La función que consulta directamente los archivos de base de datos no comprobaba los permisos de la ruta y podía abrir otros archivos de base de datos. Se añadió la comprobación de permisos y el bloqueo de comandos peligrosos. | Corregido (pendiente de publicación) |
| Permisos | La herramienta de calendario de AI no comprobaba el propietario del evento, y la herramienta de archivos de AI no volvía a comprobar los permisos cuando leía en su lugar un archivo de nombre parecido. | Corregido (pendiente de publicación) |
| Permisos | Se reforzó la comprobación del propietario en el registro de actividad del espacio personal, el permiso de origen en las copias entre espacios, la comprobación de permisos ante diferencias de representación de los jamo coreanos, los favoritos, el estado de conversión y la cancelación de tareas. | Corregido (pendiente de publicación) |
| Permisos | No se aplicaban las restricciones de lectura y escritura por columna en las tablas del sitio web (Webspace). Ahora también se protegen las filas eliminadas y la columna de autor. | Corregido (pendiente de publicación) |
| Permisos | Si al guardar la configuración faltaba el elemento de restricción de acceso por IP, la restricción podía desactivarse. | Corregido (pendiente de publicación) |
| Separación de datos | En la lista de calendario del equipo, la bandeja de entrada y las notificaciones podían verse eventos personales de otros usuarios. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Las solicitudes de autocompletado simultáneas podían detener el servidor. | Corregido (pendiente de publicación) |
| Solicitudes externas | La conexión con el modelo de AI reenviaba las solicitudes de usuarios normales hasta las funciones de administración, y algunas funciones podían enviar solicitudes a direcciones internas del servidor. También se impidió que la información de inicio de sesión se transmitiera a los plugins. | Corregido (pendiente de publicación) |
| Aislamiento de contenido | Se reforzaron los archivos estáticos del sitio web (XML y XHTML), la vista previa de la conversión de documentos, los valores de la configuración de marca, el motor de conversión a PDF y la dirección de redirección tras iniciar sesión. | Corregido (pendiente de publicación) |
| Defensa contra sobrecarga | El límite de tamaño de las solicitudes pasa a basarse en la ruta de la función, los cuerpos de solicitud lentos tienen un límite de tiempo, las cargas simultáneas reservan su cuota de almacenamiento y los límites de solicitudes IPv6 se agrupan por bloque de direcciones. | Corregido (pendiente de publicación) |
| Conservación de datos | El original ya no se elimina cuando el reconocimiento de caracteres (OCR) no produce resultado. | Corregido (pendiente de publicación) |
| Interfaz web | El saneamiento de HTML del redactor de correo se sustituyó por una herramienta de saneamiento estándar (DOMPurify) y se protegieron los enlaces que se abren en una ventana nueva. | Corregido (pendiente de publicación) |
| Correo | Modificar un contacto podía afectar a los contactos de otros usuarios, y una cuenta de correo externa podía ocupar una dirección interna de la empresa. También se bloqueó el acceso a buzones desactivados y a los archivos originales de buzones compartidos guardados en el espacio del equipo. | Corregido (pendiente de publicación) |
| Archivos e integraciones | El bloqueo de guardado de archivos podía bloquear también archivos con el mismo nombre de otros usuarios, y los nombres dentro de un archivo comprimido descargado podían extraerse en otra carpeta. La integración de flujos de trabajo vuelve a comprobar el usuario cada vez, los tokens de webhook se ocultan en los registros y la configuración de firma obligatoria se aplica también a los webhooks existentes. | Corregido (pendiente de publicación) |
| Uso compartido | Los enlaces compartidos existentes seguían abriéndose aunque se desactivara el uso compartido externo o se retirara el permiso de compartir de su creador, y el límite de usos podía superarse con accesos simultáneos. Aunque la función esté desactivada, el creador puede ver y revocar sus propios enlaces. | Corregido (pendiente de publicación) |
| Permisos | Otros usuarios del mismo equipo podían abrir, desde las funciones de archivos, los adjuntos de las salas de chat individuales y grupales. Ahora solo pueden abrirlos los participantes de esa sala y los administradores. | Corregido (pendiente de publicación) |
| Permisos | La respuesta a una consulta de carpeta denegada por falta de permisos podía incluir información sobre los elementos de la carpeta. | Corregido (pendiente de publicación) |
| Permisos | Las solicitudes para guardar un archivo o registrar una decisión de aprobación podían ejecutarse aunque ya se hubiera enviado una respuesta de permiso denegado. Ahora se detienen en cuanto se deniega el acceso. | Corregido (pendiente de publicación) |
| Permisos | Se reforzó la comprobación de permisos en la consulta y modificación de la configuración de carpetas desde las herramientas de AI y en los resultados generados a partir del contenido de los archivos (investigación, imágenes similares, análisis de carpetas). | Corregido (pendiente de publicación) |
| Configuración y secretos | Se confirmó que el repositorio no contiene claves secretas y que el hash de contraseñas, la firma de tokens y el cifrado de las cuentas de correo son adecuados. Se impidió que la página de descripción de la API quedara expuesta a través del proxy inverso y se eliminó una función criptográfica débil que no se utilizaba. | Corregido (pendiente de publicación) |
Información para operadores
- Si una integración externa de AI (puente AP) utiliza
/api/ai-proxy, debe configurarse el mismo valor deSETFN_AI_PROXY_TOKENen el servidor y en el lado de la integración. A partir de esta corrección, ya no es posible acceder solo con solicitudes locales sin el token.
2026-10-23 Revisión de seguridad completa previa a la publicación
A raíz de la publicación de un tipo de ataque que aprovecha las situaciones de falta de memoria, se volvió a revisar todo el servidor antes de la publicación. El código se revisó con AI (Claude) dividido en cinco áreas; los problemas encontrados se confirmaron de nuevo con el código y con pruebas antes de corregirlos.
Alcance de la revisión
- Tamaño de las solicitudes y duración de las conexiones de las funciones que se pueden invocar sin iniciar sesión
- Rutas por las que los datos de la solicitud de un usuario podrían mezclarse en la respuesta de otro usuario
- Rutas que guardan datos incompletos como si fueran datos correctos
- Estados que se acumulan en la memoria del servidor cuando se repiten las solicitudes
- Vulnerabilidades conocidas de las bibliotecas del servidor y de la interfaz web, y principales vulnerabilidades desde 2025 de los programas de procesamiento de documentos
- 463 avisos de seguridad de KISA Boho Nara (2025-01-01 ~ 2026-10-22)
- OWASP Top 10:2025, OWASP ASVS 5.0, NIST SP 800-63B-4 y elementos de comprobación de vulnerabilidades web de KISA
Problemas encontrados y medidas
| Área | Contenido | Estado |
|---|---|---|
| Separación de datos entre usuarios | El autocompletado de nombres de archivo podía mostrar nombres de archivos del espacio personal de otros usuarios. El índice se separó por espacio y por usuario, y el espacio de administración solo lo consultan los administradores. | Corregido (pendiente de publicación) |
| Separación de datos entre usuarios | Al consultar a la vez el calendario del equipo y el personal, podían verse mezclados eventos personales de otros usuarios. Ahora la ubicación de almacenamiento del calendario se fija en cada solicitud. | Corregido (pendiente de publicación) |
| Separación de datos entre usuarios | Al restaurar desde la papelera un archivo sobrescribiendo otro con el mismo nombre, podían cambiar los comentarios y el historial de cambios de otro archivo. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Si la conexión se cortaba mientras se enviaban resultados de búsqueda en tiempo real, se intentaba escribir después de finalizar la respuesta y el servidor podía detenerse. | Corregido (pendiente de publicación) |
| Estabilidad del servidor | Se resolvió la condición de carrera en la que varias tareas leían y escribían a la vez la información de la pantalla actual de la conexión en tiempo real. | Corregido (pendiente de publicación) |
| Defensa contra sobrecarga | Las conexiones al servidor no tenían límite de tiempo, lo que las hacía vulnerables a ataques que mantienen abiertas muchas conexiones lentas. Se añadieron límites al tiempo de recepción de cabeceras, al tiempo de conexión inactiva y al tamaño de las cabeceras. | Corregido (pendiente de publicación) |
| Defensa contra sobrecarga | Algunas funciones no limitaban el tamaño del cuerpo de la solicitud. Se estableció un límite predeterminado para toda la API y límites individuales para las funciones que se invocan sin iniciar sesión: preparación del inicio de sesión de la app, comprobación del registro de dispositivos y pantalla de instalación. | Corregido (pendiente de publicación) |
| Defensa contra sobrecarga | Los registros de inicios de sesión fallidos y las solicitudes de inicio de sesión de la app en espera podían crecer sin límite. Se añadieron límites al número total y al número por ubicación de acceso. | Corregido (pendiente de publicación) |
| Defensa contra sobrecarga | Los registros de deduplicación de correo, las suscripciones en tiempo real del sitio web, la ejecución simultánea de solicitudes de AI, las tareas simultáneas de descarga comprimida y la caché del árbol de carpetas podían crecer sin límite. Se añadió a cada uno un límite y una limpieza periódica. | Corregido (pendiente de publicación) |
| Conservación de datos | Una carga sin longitud declarada podía omitir la comprobación de la cuota de almacenamiento, y la configuración de contraseña de un documento sobrescribía el archivo en su lugar, por lo que un fallo podía dañar el original. Ahora la cuota se comprueba mientras se cuenta la cantidad recibida, y la configuración de contraseña del documento y el guardado de los resultados de conversión se escriben primero en un archivo temporal y después se sustituyen. | Corregido (pendiente de publicación) |
| Conservación de datos | Un XML de patente demasiado grande podía procesarse truncado y, después, eliminarse el original. Ahora, si se supera el tamaño, se trata como un fallo y no se elimina un original que solo se haya interpretado en parte. | Corregido (pendiente de publicación) |
| Programas de procesamiento de documentos | LibreOffice tiene una vulnerabilidad (CVE-2026-63277) todavía sin corregir en Ubuntu 24.04. Se desactivó el uso de Java en el perfil de LibreOffice utilizado para la conversión de documentos. | Corregido (pendiente de publicación) |
| Programas de procesamiento de documentos | Se están reforzando los límites de tamaño al procesar archivos comprimidos, de imagen y de documento. | En corrección |
| Dependencias | Se actualizaron a la versión corregida 41 vulnerabilidades conocidas de bibliotecas Go del servidor, y la biblioteca de compresión que ya no se mantiene se sustituyó por un módulo propio. | Corregido (pendiente de publicación) |
| Dependencias | Se actualizaron a la versión corregida 20 vulnerabilidades de gravedad alta o superior en bibliotecas de la interfaz web (editor de documentos, visor de PDF, visor de Markdown, etc.). | Corregido (pendiente de publicación) |
| Dependencias | Algunas vulnerabilidades del editor de archivos HTML (TinyMCE) solo están corregidas en una versión mayor, por lo que se está evaluando la migración. En el editor de correo se bloquearon mediante saneamiento de la entrada. | En corrección |
| Cabeceras de seguridad | Se impidió incrustar las pantallas de administración y de cuenta en otros sitios, y se limitó la inferencia del formato de las respuestas de la API y la información de dirección que se transmite al exterior. | Corregido (pendiente de publicación) |
| Autenticación | Está previsto cambiar la política de contraseñas al criterio del NIST (longitud y bloqueo de contraseñas habituales en lugar de reglas de composición) y añadir la autenticación en dos pasos para administradores. | Mejora prevista |
| Avisos externos | Ningún aviso de KISA afectaba directamente a SetFN. Los 32 avisos que pueden aplicarse según el entorno de operación se recopilaron como elementos que debe comprobar el operador. | Requiere acción del operador |
Verificación de las correcciones
A cada corrección se le añadió una prueba que fallaba en el código anterior a la corrección. Después de corregir, se ejecutó un servidor de pruebas separado de los datos de producción, se crearon cuentas de administrador y de usuario normal con la herramienta de línea de comandos y se comprobó lo siguiente con solicitudes reales.
- Los nombres de archivos del espacio personal de otros usuarios no aparecen en el autocompletado
- Al consultar 40 veces de forma simultánea el calendario del equipo y el personal, los eventos personales no se mezclan en la lista del equipo
- El servidor corta tras el tiempo límite las conexiones lentas que no terminan de enviar las cabeceras
- Las solicitudes demasiado grandes y las entradas largas se rechazan antes de leer el cuerpo
- La cabecera de prevención de clickjacking se añade a las pantallas de administración y no a las páginas del sitio web del cliente
Información para operadores
- Se creó el documento Comprobar las actualizaciones de seguridad del servidor. Explica cómo recibir las correcciones de seguridad de los paquetes
universede Ubuntu y por qué no se debe instalar MuPDF. - Se eliminó
mupdf-toolsde los paquetes recomendados en los documentos de instalación de Linux y Windows.
2026-10-20 ~ 2026-10-22 Nueva revisión de los límites de permisos
El código de permisos y uso compartido se volvió a revisar en paralelo con AI (OpenAI Codex); los defectos encontrados se confirmaron con pruebas que fallaban en el código anterior a la corrección antes de corregirlos.
| Contenido | Estado |
|---|---|
| La lista de sincronización de escritorio incluía el nombre y el tamaño de archivos de carpetas sin permiso de listado | Corregido |
| Defectos en el tratamiento de permisos de enlaces compartidos, restauración desde la papelera y envío de documentos; las denegaciones de permiso aparecían como error del servidor (500) | Corregido |
| Problema de orden por el que un permiso revocado podía reactivarse en la conexión en tiempo real; alcance de los destinatarios de las notificaciones de archivos | Corregido |
| Se mostraban respuestas de AI que llegaban tarde a una sala de conversación abandonada | Corregido |
| Refuerzo de la comprobación de permisos en el menú de conversión de documentos y en el guardado de resultados de OCR | Corregido |
2026-10-19 Limitación del texto original en los registros de AI
Se redujo el alcance de registro de los registros de diagnóstico de las funciones de AI para que no quede demasiado texto original de las solicitudes. Corregido
2026-10-13 Refuerzo de permisos en conversión y web pública
| Contenido | Estado |
|---|---|
| La función de reprocesamiento de carpetas de conversión no comprobaba los permisos de la ruta | Corregido |
| El valor predeterminado que eliminaba el original en carpetas sin configuración de conversión se cambió a conservarlo | Corregido |
| Refuerzo de los permisos de consulta de la web pública y de los límites del historial de documentos; refuerzo de la regresión de reautenticación de la conexión en tiempo real | Corregido |
2026-09-25 Revisión de seguridad integral
Se revisaron los permisos, el uso compartido, la autenticación, la ejecución de scripts en la interfaz web (XSS), la falsificación de solicitudes del lado del servidor (SSRF) y las herramientas de AI y de flujos de trabajo. Se confirmó enviando solicitudes reales a un servidor de pruebas aislado antes de corregir.
| Contenido | Estado |
|---|---|
| Refuerzo de la validación del tipo, el emisor y el alcance de ruta de los tokens de enlaces compartidos | Corregido |
| Los permisos se evalúan después de normalizar la ruta; los permisos de la carpeta superior también se aplican a la consulta de listados | Corregido |
| Refuerzo de las condiciones de excepción de CSRF, inclusión del puerto en la comparación de orígenes CORS, cierre de todas las sesiones al cambiar la contraseña | Corregido |
| Aplicación de permisos de ruta y políticas de carpeta al guardado y bloqueo de documentos de Office | Corregido |
| Las herramientas de AI ya no aceptan argumentos internos; la creación y sobrescritura de archivos aplica permisos y bloqueo de edición | Corregido |
| Token obligatorio en la integración de flujos de trabajo; comprobación de permisos en las herramientas de archivos | Corregido |
| Refuerzo del saneamiento de HTML al mostrar correo, Markdown y documentos de Word; aislamiento de las respuestas de archivos cargados | Corregido |
| Excepción para las IP con inicio de sesión reciente correcto, para evitar el abuso de la función de bloqueo de cuentas | Corregido |
| Refuerzo de los permisos de las operaciones de administrador en las funciones en tiempo real (expulsión forzada, etc.) | Corregido |