contact header

お知らせ

2026.10.27GROWISECURITY

GROWI 脆弱性対応のお知らせ (JVN#51223238)

概要

  • 弊社が提供している GROWI システムにおいて、以下の複数の脆弱性が存在することが判明しました。
    • ページ表示機能およびコメント機能における認可処理の回避の脆弱性
    • タグ更新 API およびページ更新 API における認可処理の回避の脆弱性
    • 同時編集機能における認可処理の欠如の脆弱性

該当製品の確認方法

影響を受ける製品は以下の通りです。
製品名称：GROWI
該当バージョン：
・ページ表示機能およびコメント機能の脆弱性: GROWI v3.2.10 から v8.0.6 までのバージョン
・タグ更新 API およびページ更新 API の脆弱性: GROWI v4.5.5 から v8.0.6 までのバージョン
・同時編集機能の脆弱性: GROWI v7.0.0 から v8.0.6 までのバージョン

影響を受ける条件：
・同時編集機能の脆弱性は、ゲストアクセスを「閲覧のみ」に設定している場合、または閲覧のみ許可されているユーザー、承認待ち・停止中・招待中のユーザーがページを閲覧できる場合に影響を受けます

脆弱性の説明

  • ページ表示機能およびコメント機能における認可処理の回避: ページの表示、コメントの取得・投稿において、リクエストで指定されたページの版（リビジョン）が、対象のページの版であるかを確認していませんでした。閲覧権限のあるページの ID と、閲覧権限のないページの版の ID を組み合わせて指定すると、閲覧権限のないページの版が使われる状態でした。
  • タグ更新 API およびページ更新 API における認可処理の回避: タグ更新 API（/_api/tags.update）およびページ更新 API において、同様に、指定された版が対象のページの版であるかを確認していませんでした。
  • 同時編集機能における認可処理の欠如: 同時編集のための接続を開始する際に、接続するユーザーがページの編集権限を持っているかを確認していませんでした。

脆弱性がもたらす脅威

  • ログイン可能なユーザーが、閲覧権限のないページの本文およびコメントを取得できる可能性があります。
  • ログイン可能なユーザーが、閲覧権限のないページの本文を取得し、自身が編集可能なページに保存できる可能性があります。
  • 閲覧のみ許可されているユーザー（またはゲストユーザー）、および承認待ち・停止中・招待中のユーザーが、ページの下書きを書き換えられる可能性があります。書き換えられた下書きは、その後に正規のユーザーがエディタを開いて保存すると、そのユーザーの名前でページの履歴に保存されます。

セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

  • JVN#51223238
  • CVE-2026-105272（ページ表示機能およびコメント機能）
  • CVE-2026-109848（タグ更新 API およびページ更新 API）
  • CVE-2026-115624（同時編集機能）

GitHub で公開している以下のセキュリティアドバイザリ（英語）

対策方法

GROWI を v8.0.7 以降のバージョンにアップデートしてください。

v8.0.7 では、リクエストで指定された版が対象のページの版であることを確認する処理を追加し、同時編集の接続を開始する際にページの編集権限を確認するよう修正いたしました。

すぐにアップデートできない場合、同時編集機能の脆弱性については、管理画面のセキュリティ設定（/admin/security）でゲストアクセスを「拒否」にすることで、未ログインのゲストによる書き換えを防げます。また、ゲストが閲覧できるページの下書きは、保存する前に内容をご確認ください。

アップデート版の入手場所

関連ページ

keyboard_arrow_left一覧へ戻る