CVE-2026-25773

WysokieCVSS 8.1

Opublikowano: 03/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Focalboard 8.0 nie oczyszcza identyfikatorów kategorii przed użyciem w dynamicznych zapytaniach SQL podczas zmiany kolejności kategorii. Uwierzytelniony atakujący może wstrzyknąć złośliwy SQL do pola ID kategorii, co prowadzi do wycieku skrótów haseł innych użytkowników. Produkt nie jest już wspierany i nie zostanie wydana łatka.

Ocena ryzyka

Uwierzytelniony atakujący może wykraść poufne dane, w tym skróty haseł, co może prowadzić do eskalacji uprawnień i przejęcia kont.

Rekomendacja

Zaprzestań używania Focalboard jako samodzielnego produktu. Migruj do alternatywnego rozwiązania, które jest aktywnie utrzymywane.

Inne podatności w Focalboard

CVE-2026-28736Średnie
Focalboard w wersji 8.0 (produkt nieobsługiwany) nie weryfikuje własności plików podczas serwowania przesłanych plików. Umożliwia to uwierzytelnionemu atakującemu, który zna identyfikator pliku ofiary, odczytanie jego zawartości. Produkt nie jest już utrzymywany i nie zostanie wydana żadna łatka.

Oryginalny opis (angielski, źródło NVD)

** UNSUPPORTED WHEN ASSIGNED ** Focalboard version 8.0 fails to sanitize category IDs before incorporating them into dynamic SQL statements when reordering categories. An attacker can inject a malicious SQL payload into the category id field, which is stored in the database and later executed unsanitized when the category reorder API processes the stored value. This Second-Order SQL Injection (Time-Based Blind) allows an authenticated attacker to exfiltrate sensitive data including password hashes of other users. NOTE: Focalboard as a standalone product is not maintained and no fix will be issued.