AI機能の脆弱性 収束
株式会社GROWI(社内Wiki「GROWI」) ソフトウェア
GROWI v7.4.5およびそれ以前のバージョンで、AIアシスタント機能のOpenAIスレッド・メッセージ APIに権限チェックの欠如(CWE-862、CVE-2026-25083)があった。共有AIアシスタントの識別子を把握しているログイン済みの利用者が、他の利用者のAIアシスタントのスレッド・メッセージを閲覧・改ざんできる可能性があった。
- 影響
- CVSS v4基本値8.7、CVSS v3基本値8.3(JVN)。
- 対応
- v7.4.6で修正。GMOサイバーセキュリティ by イエラエ株式会社の小田切祥氏が製品開発者に報告し、調整を経てJVNで公表された。