独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月8日、GroupSessionにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。古川菜摘氏、佐藤竜氏、榎田小次郎氏、GMOサイバーセキュリティ byイエラエ株式会社の井餘田笙悟氏と石井健太郎氏、三井物産セキュアディレクション株式会社の望月岳氏と荒牧努氏と米山俊嗣氏と露木拓巳氏と山本健太氏、株式会社ブロードバンドセキュリティの志賀拓馬氏が報告を行っている。影響を受けるシステムは以下の通り。
・CVE-2025-53523、CVE-2025-54407、CVE-2025-57883、CVE-2025-58576、CVE-2025-61950、CVE-2025-61987、CVE-2025-62192
GroupSession 無料版 ver5.3.0より前のバージョン
GroupSession byCloud ver5.3.3より前のバージョン
GroupSession ZION ver5.3.2より前のバージョン
・CVE-2025-64781、CVE-2025-65120、CVE-2025-66284
GroupSession 無料版 ver5.7.1より前のバージョン
GroupSession byCloud ver5.7.1より前のバージョン
GroupSession ZION ver5.7.1より前のバージョン
日本トータルシステム株式会社が提供するGroupSessionには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・格納型クロスサイトスクリプティング（CVE-2025-53523）
→細工されたページやURLにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
・格納型クロスサイトスクリプティング（CVE-2025-54407）
→細工されたページやURLにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
・反射型クロスサイトスクリプティング（CVE-2025-57883）
→細工されたページやURLにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
・クロスサイトリクエストフォージェリ（CVE-2025-58576）
→細工されたページにアクセスした場合、意図していない操作をさせられる
・ユーザ識別情報操作による権限チェック回避（CVE-2025-61950）
→当該製品にログインしたユーザによって、回覧板のメモを改ざんされる
・WebSocketにおけるオリジン検証不備（CVE-2025-61987）
→細工されたページにアクセスした場合、ユーザ宛に送信されたチャットの情報が漏えいする
・SQLインジェクション（CVE-2025-62192）
→当該製品にログインしたユーザによって、データベース内の情報を取得されたり改ざんされたりする
・安全ではない初期設定（CVE-2025-64781）
※「外部ページ表示制限設定」が初期値の"制限しない"のままの場合、本脆弱性の影響を受ける
→細工されたURLにアクセスすることで、任意のウェブサイトにリダイレクトされる
・反射型クロスサイトスクリプティング（CVE-2025-65120）
→細工されたページやURLにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
・格納型クロスサイトスクリプティング（CVE-2025-66284）
→細工されたページやURLにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。
