# 概要

子会社 GROWI, Inc. が提供するプロダクト「GROWI」に関するご連絡です。このたび、アクセス制限不備とクロスサイト・スクリプティングの 2 つの脆弱性が含まれることが判明しました。

ファイルアップロード方法の設定が「Local」の場合、アップロードされた添付ファイルが静的ファイル配信領域に保存されており、アクセス制御やレスポンスヘッダ付与を行う正規の配信経路(/attachment/:id、/download/:id)を経由せずに、ファイルへ直接アクセスできる状態でした。

以下の影響があります。

  1. アクセス制限不備により、未認証の第三者が、非公開ページの添付ファイル、ユーザー画像、ページ一括エクスポート、監査ログエクスポートの各ファイルへ直接アクセスできる可能性があります
  2. 格納型のクロスサイト・スクリプティングにより、HTML ファイルがインラインで描画され、任意のスクリプトが実行される可能性があります

以下のバージョンが影響を受けます。

  • v7.5.5 よりも前のすべてのバージョン
    • ただし、ファイルアップロード方法の設定が「Local」の場合のみ影響を受けます。Amazon S3 / GCS / Azure Blob Storage をご利用の場合は影響を受けません

v7.5.5 にて修正対応が完了しておりますので、該当するバージョンをご利用中の方はアップデートをお願いいたします。

# セキュリティ脆弱性の詳細

CVE, JVN が公開している以下のセキュリティアドバイザリ

# 対策

  • GROWI を v7.5.5 以降のバージョンにアップデートしてください

# アップデート版の入手場所

# 関連ページ