Groupoffice

Vulnerabilities related to Groupoffice 3

• Medium 5.0 Group-Office: SSRF via Bookmark/description JMAP action — server makes arbitrary HTTP(S) requests to user-controlled URL and reflects part of the response Group-Office is an enterprise customer relationship management and groupware tool. Prior to version 26.0.37, go/modules/community/bookmarks/controller/Bookmark.php's description() action takes a fully attacker-controlled url parameter and passes it, unvalidated, to \GO\Base\Util\HttpClient::request(... CVE-2026-63653 01:35
• Critical 9.4 Group-Officeに認証後RCEの脆弱性、修正版あり グループウェアのGroup-Officeに、ログインできる利用者がサーバー上で任意のOSコマンドを実行できる脆弱性が見つかりました。使っている系統の修正版（6.8.167・25.0.102・26.0.27）へ更新し、未更新だった期間があれば侵害の跡も確認してください。 CVE-2026-63011 01:35
• High 8.7 Group-Office（グループオフィス）に保存型クロスサイトスクリプティングの脆弱性、アカウント乗っ取りのおそれ Group-Officeには、一般ユーザーが手動リマインダーに任意のHTML/JavaScriptを仕込み、ほかのユーザー(管理者を含む)に送れる保存型クロスサイトスクリプティングの脆弱性があります。通知を表示した被害者のブラウザでスクリプトが実行され、セッションを乗っ取られるおそれがあり、CVSS v4.0の基本値は8.7です。6.8.172、25.0.108、26.0.33で修正されているため、これらの修正版へ更新してください。 CVE-2026-63010 01:35