独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月28日、GROWIにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。河本将士氏、株式会社日本総合研究所の大竹文絃氏が報告を行っている。影響を受けるシステムは以下の通り。
GROWI v8.0.0およびそれ以前のバージョン
株式会社GROWIが提供するGROWIには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・ブックマークフォルダ関連APIにおけるユーザ識別情報の操作による権限チェック回避（CVE-2026-53620）
→当該製品にログイン可能な攻撃者によって、他のユーザのブックマーク情報が取得、改ざん、削除される
・ブックマーク一覧取得APIにおける認可処理の不備（CVE-2026-68951）
→当該製品にアクセス可能な攻撃者によって、他のユーザのブックマーク情報が取得される
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、GROWI v8.0.1で修正されている。
