Contact/query addressBookIds フィルターにおける認証された SQL インジェクション (SQL Injection)

CVE-2026-33755 は、企業向け顧客関係管理 (CRM) およびグループウェアツールである Group-Office に影響を与えます。この脆弱性は、JMAP Contact/query エンドポイントにおける認証済み SQL インジェクションであり、基本的なアドレス帳アクセス権限を持つ認証済みユーザーがデータベースから任意のデータを抽出することを可能にします。これには、他のユーザーの有効なセッショントークンが含まれており、パスワードを知らなくてもシステム管理者を含む任意のユーザーアカウントを完全に乗っ取ることができます。この脆弱性の重大度は高く (CVSS 8.8)、機密情報の不正アクセスやユーザーアカウントの完全な制御の可能性が高いためです。このリスクを軽減するには、バージョン 6.8.158 以降にアップデートすることが不可欠です。攻撃が成功すると、機密データの漏洩、重要な情報の操作、および事業活動の混乱につながる可能性があります。

Organizations utilizing GroupOffice for customer relationship management and groupware, particularly those with multiple users and System Administrator accounts, are at significant risk. Shared hosting environments where multiple GroupOffice instances share the same database are especially vulnerable, as a compromise in one instance could potentially expose data from others.

• linux / server:

journalctl -u groupoffice | grep -i "SQL injection"

• php: Review GroupOffice application logs for SQL error messages or unusual database queries originating from the Contact/query endpoint. • generic web: Use curl to test the Contact/query endpoint with crafted SQL injection payloads. Monitor response headers for errors or unexpected data.

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-27
3. EPSS 更新日2026-04-04

CVE-2026-33755 の解決策は、Group-Office をバージョン 6.8.158 以降にアップデートすることです。これらのバージョンには、SQL インジェクション脆弱性に対する修正が含まれています。潜在的な攻撃からシステムを保護するために、このアップデートを直ちに適用することを強くお勧めします。さらに、組織のセキュリティポリシー（パスワード管理およびユーザー認証を含む）を見直し、セキュリティのベストプラクティスに準拠していることを確認してください。Group-Office のログを監視して疑わしいアクティビティを検出し、リアルタイムで潜在的な攻撃を特定して対応するために、侵入検知システム (IDS) の実装を検討してください。脆弱性を排除するための最も効果的な対策はアップデートです。