GROWI 脆弱性対応のお知らせ (JVN#51223238)

概要 ​

子会社 GROWI, Inc. が提供するプロダクト「GROWI」に関するご連絡です。このたび、認可処理の不備による複数の脆弱性が含まれることが判明しました。

以下の影響があります。

1. ページ表示・コメント機能（CVE-2026-105272）: 指定されたページ版が対象ページのものか確認していないため、閲覧権限のないページの本文やコメントを取得される可能性があります
2. タグ更新 API・ページ更新 API（CVE-2026-109848）: 同様の確認不備があります
3. 同時編集機能（CVE-2026-115624）: 編集権限の確認がないまま接続を開始できます。閲覧のみのユーザーやゲストがページの下書きを書き換える可能性があります

以下のバージョンが影響を受けます。

• ページ表示・コメント機能: v3.2.10 〜 v8.0.6
• タグ更新 API・ページ更新 API: v4.5.5 〜 v8.0.6
• 同時編集機能: v7.0.0 〜 v8.0.6

v8.0.7 にて修正対応が完了しておりますので、該当するバージョンをご利用中の方はアップデートをお願いいたします。

セキュリティ脆弱性の詳細 ​

CVE, JVN が公開している以下のセキュリティアドバイザリ

• JVN#51223238

対策 ​

• GROWI を v8.0.7 以降のバージョンにアップデートしてください
• すぐに更新できない場合は、管理画面の /admin/security でゲストアクセスを「拒否」に設定してください

アップデート版の入手場所 ​

• GitHub
• Docker Hub

関連ページ ​

• GROWI.org
• GROWI Docs
• GitHub