WikiツールGROWIに脆弱性3件、権限のないページを読まれるおそれ

やること

GROWI はチームで文書を共有する Wiki のツールで、利用者が自社のサーバーやクラウドに入れて使えます。v8.0.7 以降へ更新してください。

すぐに更新できない場合は、管理画面のセキュリティ設定でゲストアクセスを「拒否」にしてください。未ログインのゲストによる書き換えを防げます。ゲストが見られるページの下書きは、保存する前に内容を確かめてください。

何が危ないのか

GROWI と JVN は10月27日に脆弱性3件を公表しました。

• CVE-2026-105272 はページ表示とコメントの欠陥です。ログインできる人が閲覧権限のないページの本文やコメントを取得できます
• CVE-2026-109848 はタグ更新とページ更新の API の欠陥です。閲覧権限のないページの本文を、自分が編集できるページへ保存できます
• CVE-2026-115624 は同時編集の欠陥です。閲覧だけを許された人やゲスト、承認待ち・停止中・招待中の人が、ページの下書きを書き換えられます

3件のうち最も高い CVSS は CVE-2026-115624 の v4.0 で 6.9 です。書き換えられた下書きは、正規のユーザーが開いて保存すると、そのユーザーの名前で履歴に残ります。

GROWI は10月5日にも CVE-2026-100727 を公表しました。ファイルの保存先が「Local」の場合に、ログインなしで非公開ページの添付ファイルなどを読まれるおそれがあります。これは v7.5.5 で修正されています。

開発元と JVN の公表に悪用の記載はありません。

対象

対象のバージョンは上の表のとおりです。同時編集の欠陥は、ゲストアクセスが「閲覧のみ」の場合などに影響します。