GROWIに脆弱性3件、権限外ページの取得や下書き改ざんをv8.0.7で修正

社内Wiki「GROWI」に、閲覧権限のないページを取得されたり、編集権限のない利用者に下書きを書き換えられたりする3件の脆弱性が見つかりました。開発元の株式会社GROWIとJVNは2026年10月27日に公表し、v8.0.7以降への更新を案内しています。

3件の脆弱性で起きること

開発元の告知とJVNの情報による影響範囲は、次の通りです。

CVE	影響バージョン	主な影響
CVE-2026-105272	v3.2.10～v8.0.6	ログインユーザーが、閲覧権限のないページの本文・コメントを取得。閲覧専用ユーザーも対象
CVE-2026-109848	v4.5.5～v8.0.6	閲覧専用以外のログインユーザーが、権限外ページの本文を取得し、自分が編集できるページへ複製
CVE-2026-115624	v7.0.0～v8.0.6	ゲストや閲覧専用ユーザーなどが、閲覧可能なページの下書きを改ざん

最初の2件は、ページIDとリビジョン(編集履歴の各版)のIDの対応を確かめる処理の不備です。権限のないページのリビジョンIDを知るか推測できるログインユーザーが、その内容を取得する可能性があります。2件目では、複製先のページの内容が取得した本文に置き換わります。

3件目は、同時編集の接続時に閲覧権限だけを確認し、編集権限を確認していなかった問題です。ゲストに閲覧を許可しているページのほか、閲覧専用、承認待ち、停止中、招待中のユーザーが閲覧できるページが対象になります。

編集権限のない利用者はページの履歴を直接保存できませんが、変更した内容は下書きとして残ります。その後に正規ユーザーがエディターを開いて保存すると、改ざん内容がそのユーザーの名前で履歴へ保存されると開発元は説明しています。

管理者はv8.0.7以降へ更新してください。ページ内容の取得に関わる最初の2件について、開発元は更新以外の回避策を示していません。

同時編集の問題では、管理画面でゲストアクセスを「拒否」にすると、未ログインのゲストによる書き換えを防げます。ログイン済みの閲覧専用ユーザーなどには、この設定だけでは対処できません。

開発元は、ゲストや閲覧専用、承認待ち、停止中、招待中のユーザーが閲覧できるページの範囲を絞り、公開ページの下書きを保存前に確認するよう案内しています。