JVN#51223238
GROWIにおける複数の脆弱性

株式会社GROWIが提供するGROWIには、複数の脆弱性が存在します。

CVE-2026-105272

• GROWI v3.2.10からv8.0.6までのバージョン

• GROWI v4.5.5からv8.0.6までのバージョン

• GROWI v7.0.0からv8.0.6までのバージョン

株式会社GROWIが提供するGROWIには、次の複数の脆弱性が存在します。

• ページ表示機能およびコメント機能における、ユーザが制御可能な値による認可処理の回避（CWE-639）
  • CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 2.3
  • CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N 基本値 4.2
  • CVE-2026-105272
• タグ更新APIおよびページ更新APIにおける、ユーザが制御可能な値による認可処理の回避（CWE-639）
  • CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 2.3
  • CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N 基本値 4.2
  • CVE-2026-109848
• 同時編集機能における認可処理の欠如（CWE-862）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N 基本値 5.3
  • CVE-2026-115624

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログイン可能な攻撃者によって、閲覧権限のないページの本文およびコメントが取得される（CVE-2026-105272）
• 当該製品にログイン可能な攻撃者によって、閲覧権限のないページの本文が取得され、自身が編集可能なページに保存される（CVE-2026-109848）
• 閲覧のみ許可されているユーザ（またはゲストユーザ）、および承認待ち・停止中・招待中のユーザにより、ページの下書きが書き換えられる（CVE-2026-115624）

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されています。

• GROWI v8.0.7