---
title: "ウィキ「GROWI」で閲覧権限のない利用者が下書きを書き換えられる恐れなど 3 件（CVE-2026-115624 ほか・v8.0.6 まで・v8.0.7 で修正）"
url: https://n-t-p.io/worldsecurity/articles/growi-cve-2026-115624-collab-edit-missing-authorization
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 中
cve: CVE-2026-115624, CVE-2026-105272, CVE-2026-109848
---

# ウィキ「GROWI」で閲覧権限のない利用者が下書きを書き換えられる恐れなど 3 件（CVE-2026-115624 ほか・v8.0.6 まで・v8.0.7 で修正）

> **TL;DR:** ウィキ「GROWI」の v8.0.6 までに権限確認の不備が 3 件（CVE-2026-115624・105272・109848・JVN#51223238）。共同編集で閲覧のみの利用者が下書きを書き換えられる恐れ、ほか 2 件は読む権限のないページの内容を取得される恐れ。CVSS v3.0 は 5.3 以下。v8.0.7 で修正。

**要点**
- JVN#51223238（2026-10-27 公開）: GROWI の 3 件。共同編集で閲覧のみ・ゲスト・停止中などの利用者が下書きを書き換えられる恐れ（CVE-2026-115624・v7.0.0〜v8.0.6）。
- ほか 2 件は、認証された攻撃者が読む権限のないページの内容やコメントを取得できる恐れ（CVE-2026-105272・v3.2.10〜、CVE-2026-109848・v4.5.5〜）。
- CVSS v3.0 は 5.3・4.2・4.2（v4.0 は 6.9・2.3・2.3）。情報の漏えい・書き換えが中心のため severity 案は medium。EPSS は 0.0018〜0.0022、CISA KEV 掲載なし。
- 修正は GROWI v8.0.7。更新前にバックアップを取り、更新できない場合は届く範囲とゲスト閲覧の設定を見直す。
- 入口となる画面、悪用の有無、回避策、v8.0.7 の公開日は未確認。本稿は公開情報の読み取りで、再現はしていない。

ウィキソフトウェア **GROWI**（株式会社 GROWI）に、権限の確認が足りない脆弱性が 3 件公表されました（**CVE-2026-105272**・**CVE-2026-109848**・**CVE-2026-115624**）。JPCERT/CC が **JVN#51223238** として 2026-10-27 に公開しました。3 件とも **GROWI v8.0.7 で修正**されます。評価はいずれも CVSS v3.0 で 5.3 以下（v4.0 では最大 6.9）で、情報の漏えいや書き換えにとどまり、コードの実行は挙げられていません。

## 内容
JVN の記載によると、次の 3 件です。

- **CVE-2026-115624（権限確認の欠如・CWE-862）**: 対象は **v7.0.0〜v8.0.6**。共同編集の機能で、閲覧のみの権限の利用者（ゲストを含む）や、承認待ち・停止中・招待中の利用者が、ページの下書きを書き換えられる恐れがあります。**認証が要らない**（PR:N）評価で、3 件の中では最も条件が緩い値です。
- **CVE-2026-105272（利用者が操作できる鍵による認可回避・CWE-639）**: 対象は **v3.2.10〜v8.0.6**。ページの表示とコメントの機能で、認証された攻撃者が、読む権限のないページの内容とコメントを取得できる恐れがあります。
- **CVE-2026-109848（同・CWE-639）**: 対象は **v4.5.5〜v8.0.6**。タグ更新 API とページ更新 API で、認証された攻撃者が、読む権限のないページの内容を取得し、自分が編集できるページに保存できる恐れがあります。

どの画面・どのリクエストが入口かは、確認できた公表資料に書かれていません。本稿は公開情報を読んだだけで、再現はしていません。攻撃の手順は載せません。

## 評価
| 指標 | CVE-2026-115624 | CVE-2026-105272 | CVE-2026-109848 |
|---|---|---|---|
| CVSS v3.0（JVN・登録元 JPCERT/CC） | 5.3 `AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N` | 4.2 `AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N` | 4.2（同左） |
| CVSS v4.0（同） | 6.9 | 2.3 | 2.3 |
| CWE | CWE-862 | CWE-639 | CWE-639 |
| EPSS（FIRST・11/6 時点） | 0.0022（上位約 12%） | 0.0018（上位約 7%） | 0.0022（上位約 13%） |
| CISA KEV | 掲載なし（11/7 確認） | 掲載なし | 掲載なし |

- NVD は 2026-10-28 に 3 件とも登録しましたが、確認時点では状態が「Deferred」（NVD 自身の評価は未実施）で、上の点数は登録元の値です。
- 情報漏えいや書き換えが中心で CVSS が低いため、当サイトの基準では **medium** を案とします。ただし、社内の機密文書を GROWI に置いている場合は、読む権限のない人に内容を読まれる点が実質のリスクになります。

## 影響を受ける版と修正
- 影響: 上のとおり。最も広い CVE-2026-105272 は **v3.2.10 から v8.0.6 まで**です。
- 修正: **GROWI v8.0.7**。JVN は最新版への更新を求めています。回避策は JVN に記載がなく、**未確認**です。
- 報告: 情報セキュリティ早期警戒パートナーシップに基づき、開発元が JPCERT/CC に報告しました。

## 利用者が考えられること
1. GROWI を使っているか、版が v8.0.6 以下でないかを確認します。
2. v8.0.7 以降へ更新します。更新前にバックアップを取ります。
3. すぐに更新できない場合は、GROWI へ届く範囲を社内のアドレスなどに絞ります。共同編集の機能を使わない運用にできるかは未確認です。
4. ゲストの閲覧を許可していないか、承認待ち・停止中の利用者が残っていないかを見直します。
5. 重要なページの更新履歴で、想定外の書き換えがないかを確認します。

## 未確認の点
- 攻撃の入口となる画面・リクエストの詳細。
- 悪用の有無（CISA KEV には掲載なし）。
- 回避策の有無、v8.0.7 の公開日。
- 実際に公開されている GROWI の数と、NVD 自身の評価。


## 出典
- [JVN#51223238 GROWIにおける複数の脆弱性](https://jvn.jp/jp/JVN51223238/) — JPCERT/CC（JVN）
- [GHSA-3v2v-8q3r-mhm4（CVE-2026-115624）](https://github.com/growilabs/growi/security/advisories/GHSA-3v2v-8q3r-mhm4) — GROWI（GitHub Security Advisory）
- [NVD CVE-2026-115624](https://nvd.nist.gov/vuln/detail/CVE-2026-115624) — NIST NVD
- [NVD CVE-2026-105272](https://nvd.nist.gov/vuln/detail/CVE-2026-105272) — NIST NVD
- [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/growi-cve-2026-115624-collab-edit-missing-authorization