ウィキ「GROWI」で閲覧権限のない利用者が下書きを書き換えられる恐れなど 3 件（CVE-2026-115624 ほか・v8.0.6 まで・v8.0.7 で修正）

ウィキソフトウェア GROWI（株式会社 GROWI）に、権限の確認が足りない脆弱性が 3 件公表されました（CVE-2026-105272・CVE-2026-109848・CVE-2026-115624）。JPCERT/CC が JVN#51223238 として 2026-10-27 に公開しました。3 件とも GROWI v8.0.7 で修正されます。評価はいずれも CVSS v3.0 で 5.3 以下（v4.0 では最大 6.9）で、情報の漏えいや書き換えにとどまり、コードの実行は挙げられていません。

内容

JVN の記載によると、次の 3 件です。

• CVE-2026-115624（権限確認の欠如・CWE-862）: 対象は v7.0.0〜v8.0.6。共同編集の機能で、閲覧のみの権限の利用者（ゲストを含む）や、承認待ち・停止中・招待中の利用者が、ページの下書きを書き換えられる恐れがあります。認証が要らない（PR:N）評価で、3 件の中では最も条件が緩い値です。
• CVE-2026-105272（利用者が操作できる鍵による認可回避・CWE-639）: 対象は v3.2.10〜v8.0.6。ページの表示とコメントの機能で、認証された攻撃者が、読む権限のないページの内容とコメントを取得できる恐れがあります。
• CVE-2026-109848（同・CWE-639）: 対象は v4.5.5〜v8.0.6。タグ更新 API とページ更新 API で、認証された攻撃者が、読む権限のないページの内容を取得し、自分が編集できるページに保存できる恐れがあります。

どの画面・どのリクエストが入口かは、確認できた公表資料に書かれていません。本稿は公開情報を読んだだけで、再現はしていません。攻撃の手順は載せません。

評価

指標	CVE-2026-115624	CVE-2026-105272	CVE-2026-109848
CVSS v3.0（JVN・登録元 JPCERT/CC）	5.3 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N	4.2 AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N	4.2（同左）
CVSS v4.0（同）	6.9	2.3	2.3
CWE	CWE-862	CWE-639	CWE-639
EPSS（FIRST・11/6 時点）	0.0022（上位約 12%）	0.0018（上位約 7%）	0.0022（上位約 13%）
CISA KEV	掲載なし（11/7 確認）	掲載なし	掲載なし

• NVD は 2026-10-28 に 3 件とも登録しましたが、確認時点では状態が「Deferred」（NVD 自身の評価は未実施）で、上の点数は登録元の値です。
• 情報漏えいや書き換えが中心で CVSS が低いため、当サイトの基準では medium を案とします。ただし、社内の機密文書を GROWI に置いている場合は、読む権限のない人に内容を読まれる点が実質のリスクになります。

影響を受ける版と修正

• 影響: 上のとおり。最も広い CVE-2026-105272 は v3.2.10 から v8.0.6 までです。
• 修正: GROWI v8.0.7。JVN は最新版への更新を求めています。回避策は JVN に記載がなく、未確認です。
• 報告: 情報セキュリティ早期警戒パートナーシップに基づき、開発元が JPCERT/CC に報告しました。

利用者が考えられること

1. GROWI を使っているか、版が v8.0.6 以下でないかを確認します。
2. v8.0.7 以降へ更新します。更新前にバックアップを取ります。
3. すぐに更新できない場合は、GROWI へ届く範囲を社内のアドレスなどに絞ります。共同編集の機能を使わない運用にできるかは未確認です。
4. ゲストの閲覧を許可していないか、承認待ち・停止中の利用者が残っていないかを見直します。
5. 重要なページの更新履歴で、想定外の書き換えがないかを確認します。

未確認の点

• 攻撃の入口となる画面・リクエストの詳細。
• 悪用の有無（CISA KEV には掲載なし）。
• 回避策の有無、v8.0.7 の公開日。
• 実際に公開されている GROWI の数と、NVD 自身の評価。