注目★★★★★JVN
GROWI v8.0.0以下に2件の脆弱性、v8.0.1で修正
30秒で把握
- 1GROWI v8.0.0以下でユーザー情報に関わる脆弱性2件
- 2CVE-2026-53620はCVSS v4.0基本値5.3で情報操作が可能
- 3CVE-2026-68951はCVSS v4.0基本値6.9で未認証取得に対応
要約
GROWIには、ユーザー情報の不正操作と認可不備につながる2件の脆弱性が存在する。CVE-2026-53620は認証済みユーザーが関連APIを通じて他ユーザーのプロフィール情報を操作でき、CVSS v4.0基本値は5.3だった。CVE-2026-68951は未認証でユーザー一覧取得APIを利用でき、CVSS v4.0基本値は6.9だった。影響を受けるのはGROWI v8.0.0およびそれ以前で、v8.0.1で修正された。
あなたへの影響
GROWIを運用する日本の開発・情シス担当者は、v8.0.1への更新と、ユーザー情報APIへの不審なアクセスの確認を行う。
推奨：CVSSは脆弱性の深刻度を評価する指標で、今回の2件は認証要否と影響範囲が異なる。