CVE-2026-84204
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/attachment/:id, który nie weryfikuje uprawnień dostępu do strony. Uwierzytelnieni atakujący mogą pobierać metadane załączników ze stron, których nie mogą wyświetlić, podając znane identyfikatory załączników.
Ocena ryzyka
Ryzyko nieautoryzowanego ujawnienia metadanych załączników, co może prowadzić do wycieku informacji o plikach i naruszenia prywatności.
Rekomendacja
Zaktualizuj GROWI do wersji zawierającej poprawkę. Dodatkowo ogranicz dostęp do API i monitoruj logi pod kątem nietypowych żądań.
Inne podatności w GROWI
Zobacz wszystkie- CVE-2026-41951Wysokie
W GROWI w wersji 7.5.0 i wcześniejszych występuje podatność na przejście ścieżki, która może umożliwić atakującemu wykonanie dowolnych szablonów EJS na serwerze, gdy serwer pocztowy jest uruchomiony w GROWI.
- CVE-2026-41040Wysokie
GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.
- CVE-2026-84205Średnie
GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/revisions/:id, który sprawdza dostęp na podstawie parametru zapytania, ale zwraca rewizję identyfikowaną przez parametr ścieżki bez potwierdzenia, że odnoszą się do tej samej strony. Uwierzytelnieni atakujący mogą połączyć identyfikator strony, do której mają dostęp, z dowolnym identyfikatorem rewizji, aby odczytać treść rewizji ze stron, do których nie mają uprawnień.
- CVE-2026-68951Średnie
GROWI zawiera podatność nieprawidłowej autoryzacji. Jeśli zostanie wykorzystana, nieuwierzytelniony atakujący może pobrać dane zakładek innych użytkowników.
- CVE-2026-53620Średnie
GROWI zawiera podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w API folderów zakładek. Uwierzytelniony atakujący może pobierać, modyfikować i/lub usuwać dane zakładek innych użytkowników.
- CVE-2026-80191Wysokie
GROWI stosuje kontrolę uprawnień do przeglądania strony tylko wtedy, gdy żądanie załącznika zawiera uwierzytelnionego użytkownika. Funkcja retrieveAttachmentFromIdParam pomija kontrolę, gdy użytkownik jest null, więc żądanie bez sesji pomija kontrolę i zwraca plik. Nieuwierzytelniony atakujący, znając identyfikator załącznika, może pobrać plik, nawet jeśli strona jest prywatna. Wersja 8.0.2 sprawdza zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
GROWI contains an access control vulnerability in the GET /_api/v3/attachment/:id endpoint that fails to validate page access permissions. Authenticated attackers can retrieve attachment metadata from pages they cannot view by supplying known attachment identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS