CVE-2026-68951

W GROWI w wersji 7.5.0 i wcześniejszych występuje podatność na przejście ścieżki, która może umożliwić atakującemu wykonanie dowolnych szablonów EJS na serwerze, gdy serwer pocztowy jest uruchomiony w GROWI.

GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.

GROWI zawiera podatność braku sprawdzania autoryzacji w funkcji edycji współpracy. Wykorzystując tę podatność, użytkownik z uprawnieniami tylko do odczytu, w tym użytkownik gość, lub użytkownik o statusie oczekującym, zawieszonym lub zaproszonym, może modyfikować wersje robocze stron.

GROWI zawiera podatność obejścia autoryzacji w API aktualizacji tagów i API aktualizacji stron z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, atakujący mogący zalogować się do produktu może uzyskać zawartość stron bez wymaganych uprawnień do odczytu i zapisać je na stronach, które może edytować.

GROWI zawiera podatność obejścia autoryzacji w funkcjonalności przeglądania stron i komentowania z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, uwierzytelniony atakujący może uzyskać zawartość i komentarze stron bez wymaganych uprawnień do odczytu.

W systemie GROWI istnieje podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na odczyt plików znajdujących się w niepublicznych stronach, gdy ustawienie przesyłania plików jest skonfigurowane jako "Local".

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/revisions/:id, który sprawdza dostęp na podstawie parametru zapytania, ale zwraca rewizję identyfikowaną przez parametr ścieżki bez potwierdzenia, że odnoszą się do tej samej strony. Uwierzytelnieni atakujący mogą połączyć identyfikator strony, do której mają dostęp, z dowolnym identyfikatorem rewizji, aby odczytać treść rewizji ze stron, do których nie mają uprawnień.

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/attachment/:id, który nie weryfikuje uprawnień dostępu do strony. Uwierzytelnieni atakujący mogą pobierać metadane załączników ze stron, których nie mogą wyświetlić, podając znane identyfikatory załączników.

GROWI zawiera podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w API folderów zakładek. Uwierzytelniony atakujący może pobierać, modyfikować i/lub usuwać dane zakładek innych użytkowników.

GROWI stosuje kontrolę uprawnień do przeglądania strony tylko wtedy, gdy żądanie załącznika zawiera uwierzytelnionego użytkownika. Funkcja retrieveAttachmentFromIdParam pomija kontrolę, gdy użytkownik jest null, więc żądanie bez sesji pomija kontrolę i zwraca plik. Nieuwierzytelniony atakujący, znając identyfikator załącznika, może pobrać plik, nawet jeśli strona jest prywatna. Wersja 8.0.2 sprawdza zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników.