ONLYOFFICE 文档修复了2026年10月的 Node.js 漏洞

保障文档安全始终是我们的首要任务。近期，Node.js 项目在安全公告中披露了一个新的安全漏洞，我们的团队随即采取行动，及时完成了修复。ONLYOFFICE 文档企业版和 ONLYOFFICE 文档开发者版现已升级至包含安全修复的 Node.js 版本。社区版也将在稍后进行相应更新。

Node.js 在 ONLYOFFICE 文档中的作用

Node.js 为 ONLYOFFICE 文档提供服务端脚本运行环境，并支持多项后台服务。它驱动着前端编辑器所依赖的后端服务，其中的关键组件包括：

• 协同编辑文档服务：在服务端管理实时文档协作和多用户编辑会话。
• 文件转换：通过队列处理文档转换请求，并将文件交由 ONLYOFFICE 原生的 C++ 转换引擎处理，实现 DOCX、XLSX、PPTX 和 PDF 等办公格式之间的转换，同时存储转换结果。
• 指标：收集服务运行统计数据，并通过 StatsD 导出。
• 集成层：将 ONLYOFFICE 文档连接到外部服务，包括数据库、Redis、消息队列和文件存储。该层通过 JWT 验证请求，并提供宿主应用所需的集成 API，例如回调、命令服务、转换 API、Document Builder API 和 WOPI。

这个漏洞是什么？

2026 年 10 月 21 日，Node.js 团队发布了安全更新版本，修复了该运行环境中新发现的漏洞。此类问题可能被攻击者利用，干扰服务运行或尝试访问未经授权的数据。这也是 Node.js 团队发布修复版本，以及基于 Node.js 构建的软件需要及时应用相关更新的原因。

为什么这次更新对你很重要

即使你不直接使用 Node.js，它也与你的日常工作息息相关。ONLYOFFICE 文档服务器依赖 Node.js 来支持文档的打开、编辑和保存，因此，Node.js 中存在的漏洞也可能影响你的文档服务环境。

升级 Node.js 可以修复这一安全问题，降低相关风险。你的团队可以继续协同编辑、共享文档并开展日常工作，同时减少潜在的安全隐患。对于存储敏感信息或处理外部来源文件的组织而言，这项更新尤为重要。

哪些版本已完成更新

漏洞披露后，我们立即评估了其影响范围，并着手准备修复方案。ONLYOFFICE 文档企业版和 ONLYOFFICE 文档开发者版的 Ubuntu、CentOS、Windows 和 Docker 版本均已将 Node.js 更新至 24.22.1 版本。此次更新包含 Node.js 项目发布的官方安全补丁。

我们了解到，许多组织仍在使用较早的产品版本。为了帮助这些用户及时获得修复，我们专门创建了两个修复分支：

• 基于 10.0 版本的 10.0.2 分支；
• 基于 9.4 版本的 9.4.2 分支。

社区版也将在稍后获得相应的更新。

保持防护

请及时更新你的 ONLYOFFICE 文档安装，以保护文档和团队的安全。查看帮助中心

下载安装包

如果你不是 ONLYOFFICE 服务器的管理员，可以将本文转发给负责管理服务器的 IT 团队。及时完成更新，有助于整个团队更好地防范相关安全风险。

我可以在哪里报告安全漏洞？

如果你在 ONLYOFFICE 中发现安全问题，请通过官方安全邮箱 security@onlyoffice.com 负责任地报告。你也可以访问我们的安全性 – 联系我们页面。我们会认真审查收到的报告，并与你合作，尽快解决相关问题。