|
[English]
|
JVNDB-2026-000089
|
GROWIにおける複数の脆弱性
|
|
株式会社GROWIが提供するGROWIには、次の複数の脆弱性が存在します。- ブックマークフォルダ関連APIにおけるユーザ識別情報の操作による権限チェック回避（CWE-639）- CVE-2026-53620
- ブックマーク一覧取得APIにおける認可処理の不備（CWE-863）- CVE-2026-68951
CVE-2026-53620
この脆弱性情報は、次の方がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。
報告者: 河本 将士 氏
また、この脆弱性情報は、同時期に次の方が情報セキュリティ早期警戒パートナーシップに基づき IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社日本総合研究所 大竹 文絃 氏
CVE-2026-68951
この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。
|
|
CVSS v3 による深刻度
基本値: 6.3 (警告) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): 低
|
CVSS v4 による深刻度
基本値: 5.3 (警告) [IPA値]
- 攻撃元区分 (AV): ネットワーク
- 攻撃条件の複雑さ (AC): 低
- 攻撃要件 (AT): なし
- 攻撃に必要な特権レベル (PR): 低
- 利用者の関与 (UI): なし
脆弱なシステムへの影響
- 機密性への影響 (VC): 低
- 完全性への影響 (VI): 低
- 可用性への影響 (VA): 低
後続システムへの影響
- 機密性への影響 (SC): なし
- 完全性への影響 (SI): なし
- 可用性への影響 (SA): なし
※上記は、CVE-2026-53620の評価になります。
|
CVSS v3 による深刻度
基本値: 5.3(警告) [IPA値]
- 攻撃元区分 : ネットワーク
- 攻撃条件の複雑さ : 低
- 攻撃に必要な特権レベル : 不要
- 利用者の関与 : 不要
- 影響の想定範囲 : 変更なし
- 機密性への影響 : 低
- 完全性への影響 : なし
- 可用性への影響 : なし
CVSS v4 による深刻度
基本値: 6.9 (警告) [IPA値]
- 攻撃元区分 (AV): ネットワーク
- 攻撃条件の複雑さ (AC): 低
- 攻撃要件 (AT): なし
- 攻撃に必要な特権レベル (PR): 不要
- 利用者の関与 (UI): なし
脆弱なシステムへの影響
- 機密性への影響 (VC): 低
- 完全性への影響 (VI): なし
- 可用性への影響 (VA): なし
後続システムへの影響
- 機密性への影響 (SC): なし
- 完全性への影響 (SI): なし
- 可用性への影響 (SA): なし
※上記は、CVE-2026-68951の評価になります。
|
|
|
株式会社GROWI
- GROWI v8.0.0およびそれ以前のバージョン
|
|
|
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。- 当該製品にログイン可能な攻撃者によって、他のユーザのブックマーク情報が取得、改ざん、削除される（CVE-2026-53620）
- 当該製品にアクセス可能な攻撃者によって、他のユーザのブックマーク情報が取得される（CVE-2026-68951）
|
|
[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されています。
|
|
株式会社GROWI
|
|
- その他(CWE-Other) [IPA評価]
|
|
- CVE-2026-53620
- CVE-2026-68951
|
|
- JVN : JVN#42348352
|
|
|
