CVE-2026-68951

W GROWI w wersji 7.5.0 i wcześniejszych występuje podatność na przejście ścieżki, która może umożliwić atakującemu wykonanie dowolnych szablonów EJS na serwerze, gdy serwer pocztowy jest uruchomiony w GROWI.

GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/revisions/:id, który sprawdza dostęp na podstawie parametru zapytania, ale zwraca rewizję identyfikowaną przez parametr ścieżki bez potwierdzenia, że odnoszą się do tej samej strony. Uwierzytelnieni atakujący mogą połączyć identyfikator strony, do której mają dostęp, z dowolnym identyfikatorem rewizji, aby odczytać treść rewizji ze stron, do których nie mają uprawnień.

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/attachment/:id, który nie weryfikuje uprawnień dostępu do strony. Uwierzytelnieni atakujący mogą pobierać metadane załączników ze stron, których nie mogą wyświetlić, podając znane identyfikatory załączników.

GROWI zawiera podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w API folderów zakładek. Uwierzytelniony atakujący może pobierać, modyfikować i/lub usuwać dane zakładek innych użytkowników.

GROWI stosuje kontrolę uprawnień do przeglądania strony tylko wtedy, gdy żądanie załącznika zawiera uwierzytelnionego użytkownika. Funkcja retrieveAttachmentFromIdParam pomija kontrolę, gdy użytkownik jest null, więc żądanie bez sesji pomija kontrolę i zwraca plik. Nieuwierzytelniony atakujący, znając identyfikator załącznika, może pobrać plik, nawet jeśli strona jest prywatna. Wersja 8.0.2 sprawdza zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników.