GROWI に複数の脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は9月17日、GROWI における複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。株式会社Flatt Securityのstypr氏が報告を行っている。影響を受けるシステムは以下の通り。

CVE-2021-20667, CVE-2021-20668, CVE-2021-20669, CVE-2021-20670, CVE-2021-20671
GROWI v4.2.2 およびそれ以前

CVE-2021-20829
GROWI v4.2.19 およびそれ以前

 株式会社WESEEK が提供する GROWI には、複数の脆弱性が存在し、下記のような影響を受ける可能性がある。

・格納型クロスサイトスクリプティング(CVE-2021-20667)
→CSP (Content Security Policy) の設定不備により、特別に細工されたコンテンツを含む添付ファイルを参照したユーザのブラウザ上で、任意のスクリプトが実行される

・パストラバーサル(CVE-2021-20668)
→管理者権限を持つ遠隔の攻撃者によって特別に細工された URL から当該製品にアクセスされることで、システム上の任意のファイルを読み出される

・パストラバーサル (CVE-2021-20669)

当時の記事を読む

ScanNetSecurityの記事をもっと見る

トピックス

今日の主要ニュース 国内の主要ニュース 海外の主要ニュース 芸能の主要ニュース スポーツの主要ニュース トレンドの主要ニュース おもしろの主要ニュース コラムの主要ニュース 特集・インタビューの主要ニュース

もっと読む

トレンドニュースランキング

トレンドランキングをもっと見る

コメントランキング

コメントランキングをもっと見る

このカテゴリーについて

最新IT業界情報やiPhoneやAndroidやガジェット、話題のサービス、IoT情報、スタートアップにまつわるニュースをお届け中。

通知(Web Push)について

Web Pushは、エキサイトニュースを開いていない状態でも、事件事故などの速報ニュースや読まれている芸能トピックなど、関心の高い話題をお届けする機能です。 登録方法や通知を解除する方法はこちら。

お買いものリンク