CVE-2026-28736
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Focalboard w wersji 8.0 (produkt nieobsługiwany) nie weryfikuje własności plików podczas serwowania przesłanych plików. Umożliwia to uwierzytelnionemu atakującemu, który zna identyfikator pliku ofiary, odczytanie jego zawartości. Produkt nie jest już utrzymywany i nie zostanie wydana żadna łatka.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do poufnych plików innych użytkowników, co może prowadzić do wycieku danych.
Rekomendacja
Zaleca się migrację do innego, aktywnie utrzymywanego rozwiązania, ponieważ Focalboard nie otrzyma poprawek.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** Focalboard version 8.0 fails to validate file ownership when serving uploaded files. This allows an authenticated attacker who knows a victim's fileID to read the content of the file. NOTE: Focalboard as a standalone product is not maintained and no fix will be issued.