contact header

お知らせ

2026.08.28GROWISECURITY

GROWI 脆弱性対応のお知らせ (JVN#42348352)

概要

  • 弊社が提供している GROWI システムにおいて、ブックマーク機能に関する複数の脆弱性が存在することが判明しました。
    • ブックマークフォルダ関連 API における IDOR（認可不備）の脆弱性
    • ブックマーク一覧取得 API におけるアクセス制御不備（情報漏洩）の脆弱性

該当製品の確認方法

影響を受ける製品は以下の通りです。
製品名称：GROWI
該当バージョン：
・GROWI v8.0.0 およびそれより前のバージョン

脆弱性の説明

  • ブックマークフォルダ関連 API における IDOR（認可不備）: ブックマークフォルダの作成・更新・削除およびブックマーク追加の各 API において、操作対象のフォルダがリクエスト元ユーザーの所有物であるかの確認が行われていないため、他ユーザーのブックマークフォルダを操作できます。
  • ブックマーク一覧取得 API におけるアクセス制御不備: 指定したユーザーのブックマークを取得する API において、ブックマーク対象ページの閲覧権限および管理者が設定したページ一覧の表示設定が適用されないため、閲覧権限のないページの情報を取得できます。ゲストユーザーの閲覧を許可する設定の場合、未ログインのゲストユーザーからも実行可能です。

脆弱性がもたらす脅威

  • ログイン済みの一般ユーザーが、他ユーザーのブックマークフォルダを削除・名称変更・移動し、またその配下にフォルダやブックマークを追加できます。自動化により、全ユーザーのブックマークデータを一括で破壊・改変することも可能です。
  • ログイン済みの一般ユーザーが、他ユーザーのブックマーク一覧を通じて、閲覧権限のないページの情報（ページパス・タイトル等）を取得できます。対象にはグループに限定公開されたページ、「リンクを知っている人のみ」で公開されたページ、およびユーザーページが無効化されている場合のユーザーページが含まれます。
  • ゲストユーザーの閲覧を許可する設定の場合、未ログインのゲストユーザーが他ユーザーのユーザープロフィールページを閲覧することで、同様に閲覧権限のないページの情報を取得できます。

セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

対策方法

GROWI を v8.0.1 以降のバージョンにアップデートしてください。

アップデート版の入手場所

謝辞

ブックマークフォルダ関連APIにおけるユーザ識別情報の操作による権限チェック回避の脆弱性について、河本将士氏よりJPCERT/CCへご報告いただきました。 また同脆弱性については、同時期に株式会社日本総合研究所の大竹文絃氏より、情報セキュリティ早期警戒パートナーシップに基づきIPAへご報告いただきました。 ご報告いただきました河本将士様、大竹文絃様、ならびにご調整いただきましたIPA・JPCERT/CCの関係者の皆様に、深く感謝申し上げます。

関連ページ

keyboard_arrow_left一覧へ戻る