Norihide Saito

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.1.11 **Description** A stored cross-site scripting issue exists in the User Management page (/admin/users) of GROWI. This issue can lead to the execution of an arbitrary script on the web browser of the user who accessed the site using the product. **Recommendations** For GROWI versions prior to v6.1.11, update to version v6.1.11 or later to resolve the issue. As a temporary workaround, consider restricting access to the User Management page (/admin/users) to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.0.0 **Description** A cross-site request forgery (CSRF) issue exists in the User settings (/me) page. If a user views a malicious page while logged in, settings may be changed without the user's intention. The API endpoint `/me` is affected. **Recommendations** For versions prior to v6.0.0, update to version v6.0.0 or later to resolve the issue. As a temporary workaround, consider restricting access to the `/me` page until a patch is available. Avoid using the `/me` page in a multi-tab browsing environment to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.0.0 **Description** A stored cross-site scripting issue exists in the App Settings (/admin/app) page, the Markdown Settings (/admin/markdown) page, and the Customize (/admin/customize) page. This could allow an arbitrary script to be executed on the web browser of the user who accessed the site using the product. **Recommendations** For versions prior to v6.0.0, update to version v6.0.0 or later to resolve the issue. As a temporary workaround, consider restricting access to the /admin/app, /admin/markdown, and /admin/customize pages until a patch is applied. Avoid using these pages in production environments until the update is installed.

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.0.6 **Description** The issue concerns the storage of sensitive information in cleartext form on the App Settings page, located at "/admin/app". This could allow an attacker with access to the page to obtain the Secret access key for an external service. **Recommendations** For versions prior to v6.0.6, update to version v6.0.6 or later to resolve the issue. As a temporary workaround, consider restricting access to the App Settings page (/admin/app) to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.0.6 **Description** An improper authorization issue exists in the User Management page, specifically at the `/admin/users` endpoint. This issue can lead to unintended deletion or suspension of a user's account. **Recommendations** For versions prior to v6.0.6, update to version v6.0.6 or later to resolve the issue. As a temporary workaround, consider restricting access to the `/admin/users` endpoint until the update is applied.

**Nome do software vulnerável e versões afetadas** Versões do GROWI anteriores à v4.2.3 Versões do GROWI anteriores à v4.1.12 Série GROWI v3 e anteriores **Descrição** O problema é causado por uma validação inadequada de entradas, permitindo que invasores remotos provoquem uma negação de serviço por meio de vetores não especificados. **Recomendações** Para versões do GROWI anteriores à v4.2.3, atualize para a versão v4.2.3 ou posterior. Para versões do GROWI anteriores à v4.1.12, atualize para a versão v4.1.12 ou posterior. Para a série GROWI v3 e anteriores, atualize para uma versão posterior à v3.

**Nome do software vulnerável e versões afetadas** GROWI versões 4.0.0 e anteriores **Descrição** Uma vulnerabilidade de cross-site scripting refletido permite que invasores remotos injetem scripts arbitrários por meio de vetores não especificados. **Recomendações** Para as versões 4.0.0 e anteriores do GROWI, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** GROWI versões 3.8.1 e anteriores **Descrição** A vulnerabilidade permite que invasores remotos injetem scripts arbitrários por meio de vetores não especificados, o que constitui uma vulnerabilidade de cross-site scripting armazenado. **Recomendações** Para as versões 3.8.1 e anteriores do GROWI, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** GROWI versões 4.1.3 e anteriores **Descrição** A vulnerabilidade permite que invasores remotos obtenham informações às quais não têm permissão de acesso por meio de vetores não especificados. **Recomendações** Para as versões 4.1.3 e anteriores do GROWI, no momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.