JPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）が運営する脆弱性対策情報ポータル「JVN」は10月27日、株式会社GROWIが提供するwikiソフト「GROWI」に3件の脆弱性があると公表した。ログインできる利用者が、閲覧権限のないページの本文やコメントを取得できるおそれがある。閲覧だけを許された利用者やゲストが、ページの下書きを書き換えられる欠陥も含まれる。影響を受けるのはv8.0.6以前の版で、開発元は修正を含むv8.0.7への更新を求めている。

JVNによると、この脆弱性情報は製品利用者への周知を目的に、開発者自身がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を担った。開発元は同じ日に自社サイトで告知し、ソフトのコードを公開しているGitHubにも3件の勧告（セキュリティアドバイザリ）を英語で載せた。

社内の情報共有に使うオープンソースのwiki

GROWIは、複数の人が文書を書き足して共有する「wiki」型のソフトだ。開発元の製品サイトは「無料のオープンソース Markdown Wiki」と掲げ、MITライセンスで公開しているオープンソースソフトウェアだと説明している。記法には、記号で見出しや箇条書きを表すMarkdownを使う。ページごとにコメントをスレッド形式で付けられ、複数人で同じページを同時に編集する機能もある。

製品サイトは導入の利点として、社内にある議事録や報告書、業務マニュアルといった情報を一つの場所にまとめ、管理・共有できる点を挙げる。更新版はGitHubとDocker Hubで配布されている。

社内wikiには、公開範囲を限りたい文書も入る。GROWIはページごとに閲覧できる人を絞る設定を持ち、ログインしていないゲストに読ませるかどうかも管理画面で選べる。今回の3件は、いずれもこの権限の確認が抜けていたことによる欠陥だ。

版のIDを組み合わせ、権限の確認をすり抜ける

1件目（CVE-2026-105272）は、ページの表示とコメントの機能にある。開発元の告知によると、ページを表示したりコメントを取得・投稿したりする際、リクエストで指定された「版（リビジョン）」が対象のページのものかを確かめていなかった。閲覧権限のあるページのIDと、閲覧権限のないページの版のIDを組み合わせて送ると、権限のないページの中身が返ってくる状態だった。

GitHubの勧告によると、この読み出しは新しい版を作らず、痕跡も残らない。ログインは必要だが編集権限は要らないため、閲覧のみの利用者でも使える。コメントの取得では、投稿者の情報も含めて返っていた。共有リンク経由のアクセスは影響を受けない。

2件目（CVE-2026-109848）は、タグを更新するAPIとページを更新するAPIにある。こちらも、指定された版が対象のページのものかを確かめていなかった。勧告によると、閲覧のみではない利用者が権限のないページの版のIDを指定すると、その本文がAPIの応答に含まれ、さらに自分が編集できるページの新しい版として保存される。保存先のページの内容は、写し取った本文に置き換わる。

攻撃には、狙うページの版のIDを知っている必要がある。勧告は、このIDがデータベース「MongoDB」の識別子で、時刻や連番から組み立てられるため「設計上、秘密ではない」と説明する。利用者が自分で版を作れば、近い時刻に作られた他の版のIDは推測しやすくなるとしている。

欠陥のある機能 CVE番号 対象の版 CVSS v3基本値 起きうること
ページ表示・コメント CVE-2026-105272 v3.2.10〜v8.0.6 4.2 閲覧権限のないページの本文・コメントを取得される
タグ更新・ページ更新のAPI CVE-2026-109848 v4.5.5〜v8.0.6 4.2 閲覧権限のないページの本文を取得され、編集できるページに保存される
同時編集 CVE-2026-115624 v7.0.0〜v8.0.6 5.3 閲覧のみの利用者やゲストにページの下書きを書き換えられる
GROWIで公表された3件の脆弱性

出典: JVN「JVN#51223238」、株式会社GROWIの告知

深刻度を示すCVSS v3の基本値は10点満点で4.2〜5.3。新しい算出方式のCVSS v4では、1件目と2件目が2.3、3件目が6.9だった。GitHubの勧告は3件とも深刻度を「Moderate（中程度）」としている。

閲覧だけの利用者が下書きを書き換え、他人の名前で保存

3件目（CVE-2026-115624）は、v7.0.0から入った同時編集の機能にある。同時編集のための接続を始める際に、接続する利用者がそのページを編集する権限を持つかを確かめていなかった。

影響を受けるのは、GitHubの勧告によると三つの場合だ。ゲストのアクセスを「閲覧のみ」に設定している場合の、ログインしていないゲスト。ログインしている閲覧のみの利用者。承認待ち・停止中・招待中の利用者で、そのページを閲覧できる人。後の二つは、ゲストのアクセスを「拒否」にしていても当てはまる。

こうした利用者は、ページを直接保存することはできない。ページ更新のAPIは正しく拒否するためだ。しかし書き換えた内容はページの編集中の下書きとして残る。開発元の告知によると、その後に正規の利用者がエディタを開いて保存すると、書き換えられた内容がその利用者の名前でページの履歴に記録される。勧告は、同時に編集している他の利用者の画面にも変更がそのまま映ると説明している。

対策はv8.0.7、更新できない場合の手当ては一部だけ

開発元はv8.0.7以降への更新を求めている。v8.0.7では、リクエストで指定された版が対象のページのものかを確かめる処理を加え、同時編集の接続を始める際にページの編集権限を確かめるように直した。GitHubのリリース一覧では、v8.0.7の公開日は10月7日と表示されている。JVNでの公表は、その20日後になる。

更新までの回避策は、3件で事情が異なる。GitHubの勧告は、1件目と2件目について回避策は「None（無し）」とし、v8.0.7以降への更新を求めた。

3件目については、管理画面のセキュリティ設定でゲストのアクセスを「拒否」にすれば、ログインしていないゲストによる書き換えは防げる。ただし勧告は、この設定ではログインしている閲覧のみの利用者や承認待ちなどの利用者による書き換えは防げないと明記し、こうした利用者が閲覧できるページの範囲を絞るよう挙げている。開発元の告知は、ゲストが閲覧できるページの下書きは保存する前に内容を確認するよう呼びかけた。

今年7件目の告知、10月だけで2件

開発元のサイトで「GROWI 脆弱性対応のお知らせ」と題した告知は、2026年に入って今回が7件目になる。3月16日、4月15日、4月23日、5月11日、8月28日、10月5日に続く。10月22日には、実行環境のNode.jsのセキュリティリリースに伴う対応のお知らせも出している。

3週間前の10月5日の告知（JVN#24352487）は、アクセス制限不備の脆弱性だった。対象はv7.5.5より前のすべての版で、ファイルのアップロード方法を「Local」に設定している場合に限られる。アップロードされた添付ファイルが、認可の処理を通る正規の経路を経ずに直接取り出せる場所に保存されていた。未認証の第三者が、非公開ページの添付ファイルや利用者の画像、ページの一括エクスポート、監査ログのエクスポートの各ファイルに直接アクセスできるおそれがあった。HTMLファイルがそのまま表示され、任意のスクリプトが実行される欠陥も伴っていた。

今回の3件は、いずれも開発者自身がJPCERT/CCに報告した。届け出られた脆弱性の扱いは10月1日から一部が変わり、脆弱性の届出、10月から内閣府へ通知　IPAが改訂ガイドライン公開　悪用の疑いか影響大なら対象にあるとおり、悪用の疑いがあるものや影響が大きいものは内閣府にも通知される。JVNでは同じ週に、富士電機の操作盤画面ソフト「V-SFT」に欠陥7件　細工ファイルで任意コード実行のおそれも公表されている。

GROWIを使っている組織は、動いている版がv8.0.6以前であれば、v8.0.7以降への更新が必要になる。