CVE-2025-64700GROWI v7.3.3及更早版本存在跨站请求伪造（CSRF）漏洞。该漏洞允许攻击者构造恶意网页，当已登录GROWI的用户访问该页面时，浏览器会自动向GROWI服务器发送携带用户认证凭证的恶意请求。由于GROWI应用程序未对关键操作实施充分的CSRF令牌验证机制，攻击者可以诱骗用户在不知情的情况下执行非预期的操作，如修改用户设置、创建/删除内容等。此漏洞的CVSS评分为4.3，属于中等严重程度，攻击复杂度低，但需要用户交互。攻击者无需获取用户凭证，仅需诱导用户访问恶意页面即可发起攻击。该漏洞由JPCERT/CC的安全研究人员vultures发现并报告。
跨站请求伪造（CSRF）是一种利用用户已认证身份的攻击方式。在GROWI v7.3.3及更早版本中，应用程序对部分关键操作缺少适当的CSRF防护机制。攻击者可以创建一个包含恶意表单的网页，该表单会自动提交到GROWI的目标端点。当已登录GROWI的用户访问该恶意页面时，浏览器会携带用户的会话Cookie自动发送POST请求。GROWI服务器收到请求后，由于请求携带了有效的用户认证信息，会认为是合法用户发起的操作而执行相应命令。攻击者可利用此漏洞执行任何该用户有权限执行的操作，如修改账户设置、创建/编辑/删除页面内容等。CVSS向量显示攻击复杂度低（AC:L），无需认证（PR:N），但需要用户交互（UI:R），对机密性影响低（C:L），对完整性影响低（I:L），对可用性无影响（A:N）。