CVE-2026-80191
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
GROWI stosuje kontrolę uprawnień do przeglądania strony tylko wtedy, gdy żądanie załącznika zawiera uwierzytelnionego użytkownika. Funkcja retrieveAttachmentFromIdParam pomija kontrolę, gdy użytkownik jest null, więc żądanie bez sesji pomija kontrolę i zwraca plik. Nieuwierzytelniony atakujący, znając identyfikator załącznika, może pobrać plik, nawet jeśli strona jest prywatna. Wersja 8.0.2 sprawdza zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników.
Ocena ryzyka
Osoby nieuprawnione mogą uzyskać dostęp do prywatnych plików, co może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Należy zaktualizować GROWI do wersji 8.0.2 lub nowszej, która zawiera poprawkę.
Inne podatności w GROWI
Zobacz wszystkie- CVE-2026-41951Wysokie
W GROWI w wersji 7.5.0 i wcześniejszych występuje podatność na przejście ścieżki, która może umożliwić atakującemu wykonanie dowolnych szablonów EJS na serwerze, gdy serwer pocztowy jest uruchomiony w GROWI.
- CVE-2026-41040Wysokie
GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.
- CVE-2026-100727Średnie
W systemie GROWI istnieje podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na odczyt plików znajdujących się w niepublicznych stronach, gdy ustawienie przesyłania plików jest skonfigurowane jako "Local".
- CVE-2026-84205Średnie
GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/revisions/:id, który sprawdza dostęp na podstawie parametru zapytania, ale zwraca rewizję identyfikowaną przez parametr ścieżki bez potwierdzenia, że odnoszą się do tej samej strony. Uwierzytelnieni atakujący mogą połączyć identyfikator strony, do której mają dostęp, z dowolnym identyfikatorem rewizji, aby odczytać treść rewizji ze stron, do których nie mają uprawnień.
- CVE-2026-84204Średnie
GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/attachment/:id, który nie weryfikuje uprawnień dostępu do strony. Uwierzytelnieni atakujący mogą pobierać metadane załączników ze stron, których nie mogą wyświetlić, podając znane identyfikatory załączników.
- CVE-2026-68951Średnie
GROWI zawiera podatność nieprawidłowej autoryzacji. Jeśli zostanie wykorzystana, nieuwierzytelniony atakujący może pobrać dane zakładek innych użytkowników.
- CVE-2026-53620Średnie
GROWI zawiera podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w API folderów zakładek. Uwierzytelniony atakujący może pobierać, modyfikować i/lub usuwać dane zakładek innych użytkowników.
- CVE-2025-64700Średnie
Podatność CSRF w GROWI w wersji 7.3.3 i wcześniejszych. Jeśli użytkownik jest zalogowany i odwiedzi złośliwą stronę, może zostać oszukany do wykonania niepożądanych operacji.
Oryginalny opis (angielski, źródło NVD)
GROWI applies its page-viewer permission check to attachment requests only when the request carries an authenticated user. retrieveAttachmentFromIdParam in apps/app/src/server/routes/attachment/get.ts guards the check with a condition requiring the user to be non-null, so a request that carries no session skips the check entirely and the handler returns the file. The routes reached this way, /attachment/:id and /download/:id, take the attachment identifier from the path, so an unauthenticated caller who has an attachment identifier receives the file regardless of whether the page owning it is private and regardless of whether that caller would be permitted to view the page. Identifiers can be retained by a user whose access was later removed, or recovered from anywhere the identifier was previously exposed. Version 8.0.2 runs the check for authenticated and unauthenticated requests alike, skipping it only where a valid share link has already bound the requested file to that link's page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS