お知らせ
2026.05.11GROWISECURITY
GROWI 脆弱性対応のお知らせ (JVN#38788367)
概要
- 弊社が提供している GROWI システムにおいて、パストラバーサルの脆弱性が存在することが判明しました。
該当製品の確認方法
影響を受ける製品は以下の通りです。
製品名称：GROWI
該当バージョン：
・GROWI v7.5.0 およびそれより前のバージョン
脆弱性の説明
- 「GROWI」のファイルアップロード機能において、パストラバーサル攻撃 の脆弱性が存在します。
- EJSテンプレートの読み込みパスを細工することで、攻撃者がアップロードした、悪意あるテンプレートの実行が可能になります。
脆弱性がもたらす脅威
- 管理者セッションを持つ攻撃者が一定の条件を満たす環境において、 サーバー上の機密ファイル（設定ファイル・秘密鍵等）の窃取が可能となります。
- さらに、ローカルファイルアップロードが有効な場合、悪意ある EJS ファイルとの 組み合わせによってサーバー上での任意 OS コマンドの実行・バックドアの設置・ サービスの停止に至る可能性があります。
セキュリティ脆弱性の詳細
CVE, JVN が公開している以下のセキュリティアドバイザリ
対策方法
GROWI を v7.5.1 以降のバージョンにアップデートしてください。