Cyber ·
CVE-2026-90627: Apache OpenOffice permite leitura de arquivos locais por documento malicioso
Alerta de segurança publicado em 3 de novembro de 2026 descreve falha no Apache OpenOffice até a versão 4.1.16 que permite a um documento criado para esse fim ler arquivos locais sem autorização do usuário. A correção está na versão 4.1.17.
O aviso CVE-2026-90627, divulgado na lista oss-sec em 3 de novembro de 2026 e classificado como de severidade importante, trata de uma falha no Apache OpenOffice. Segundo o texto recebido, o driver de banco de dados de arquivo simples das versões até a 4.1.16 permite que um documento preparado para esse fim leia o conteúdo de qualquer arquivo local sem solicitar autorização ao usuário. A falha envolve o provedor SQL e referências a bancos de dados de arquivo simples. Os descobridores creditados são Edoardo Geraci e Thomas Rinsma, da Codean Labs. A recomendação do aviso é atualizar para a versão 4.1.17, que corrige o problema.
A relevância para uma organização está no risco de documentos recebidos por e-mail ou compartilhados internamente abrirem caminho para leitura de arquivos sensíveis no computador de quem os abre. Quem usa o OpenOffice deve verificar a versão instalada, atualizar para a 4.1.17 ou posterior e tratar com cautela documentos de origem desconhecida. A plataforma Rota Nacional não corrige nem trata esta falha, que pertence ao software de escritório. Para conferir os detalhes, consulte o aviso original no seclists.org e a página oficial do projeto Apache OpenOffice.