GROWIの権限制御に不備。社内Wikiを8.0.7以降へ
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-28
GROWIで、ログインできる利用者が閲覧権限のないページの本文・コメントを取得できる不備が公表されました。別の不備では、閲覧専用の利用者やゲストなどが下書きを変更できるおそれがあります。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-28 / 本記事更新：2026-10-28 / 原文確認：2026-10-28。
原文発行：JVN / GROWI / 原文公表：2026-10-27。
対象と影響
社内Wikiで人事・顧客情報をページごとに制限している場合も、GROWI自体の更新を確認する必要があります。実際の漏えいや改ざん発生を確認したという発表ではありません。
自社で確認すること
社内Wikiの管理者へ、GROWIのバージョンと8.0.7以降への更新を確認する。
- 利用バージョンを確認する。3件の影響範囲は、それぞれ3.2.10〜8.0.6、4.5.5〜8.0.6、7.0.0〜8.0.6。
- 開発元の案内に従い、GROWIを8.0.7以降へ更新する。
- すぐ更新できない場合、ゲストアクセスを拒否すると未ログインのゲストによる下書き変更を防げる。これは3件すべてを解消する対策ではないため、下書きの保存前確認と更新を進める。
攻撃の流れと防御の確認箇所
GROWIへの接続 → 認可処理の不備 → ページ本文・下書き → 閲覧・改変のおそれ
防御の確認箇所：GROWIを8.0.7以降へ更新
優先度の考え方
利用中なら優先確認。非公開ページと下書きの権限を越える可能性があるため、利用中なら優先確認。JVNのCVSS4.0基本値は2.3・2.3・6.9で、編集上の優先度とは別です。実際の被害を確認した記事ではありません。
優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。
原文で言及されたCVE
報告の範囲
影響版のGROWI利用環境。国内の発信元を示し、被害発生地域や攻撃元を示すものではありません。
原文と確認箇所
JVNの公開日・最終更新日はともに2026/10/27。影響システム、想定される影響、対策方法のv8.0.7を確認。GROWI公式10/27告知の影響条件と、ゲストアクセス拒否は未ログインの下書き変更に限る緩和策であることも確認。公表済み脆弱性であり、企業の侵害報告ではない。
海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。