Focalboard Second-Order SQL Injection (SQL Injection) im Kategorie-Neuanordnungsendpunkt ermöglicht Datenexfiltration (nicht unterstütztes Produkt, keine Fehlerbehebung)

CVE-2026-25773 betrifft Focalboard Version 8.0 und offenbart eine Schwachstelle zur SQL-Injection zweiter Ordnung (Time-Based Blind). Dieser Fehler tritt auf, da die Anwendung Kategorie-IDs nicht korrekt bereinigt, bevor sie in dynamische SQL-Anweisungen während des Kategorie-Umordnungsprozesses eingebunden werden. Ein authentifizierter Angreifer kann eine bösartige SQL-Payload in das Kategorie-ID-Feld injizieren, die in der Datenbank gespeichert und später ungefiltert ausgeführt wird, wenn die Kategorie-Umordnungs-API den gespeicherten Wert verarbeitet. Dies ermöglicht die Exfiltration sensibler Daten, einschließlich Passwort-Hashes, durch eine Time-Based Blind SQL-Injection-Technik. Die Schwere des Problems wird mit CVSS 8.1 eingestuft, was ein erhebliches Risiko anzeigt.

Organizations using Focalboard for project management, particularly those relying on it for sensitive data storage, are at risk. The lack of support means that these organizations are exposed to a known vulnerability with no official remediation path. Shared hosting environments where multiple users have access to the Focalboard instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts.

• linux / server: Monitor database logs (e.g., MySQL slow query log) for unusual SQL queries involving category IDs. Use journalctl to filter for errors related to SQL execution.

journalctl -u mysqld -g 'category id' --since '1h'

• generic web: Use curl to test the category reordering API with various inputs, looking for unusual response times or errors.

curl -X POST -d 'category_id=1; SELECT sleep(5);' <reordering_api_endpoint>

• database (mysql): Check for suspicious stored procedures or functions that might be used to exploit the vulnerability.

SHOW PROCEDURE STATUS WHERE db = 'focalboard' AND Name LIKE '%category%';

1. 2026-04-03Disclosure

   disclosure

1. Reserviert2026-04-03
2. Veröffentlicht2026-04-03
3. Geändert2026-04-06
4. EPSS aktualisiert2026-04-11

Derzeit gibt es keinen Fix für CVE-2026-25773. Die effektivste Sofortmaßnahme ist die Aktualisierung auf eine Focalboard-Version, die diese Schwachstelle behebt, sobald dies verfügbar ist. Beschränken Sie in der Zwischenzeit den Zugriff auf die Kategorie-Umordnungs-API auf Benutzer mit minimalen Berechtigungen. Implementieren Sie eine umfassende Datenbanküberwachung, um ungewöhnliche Netzwerkaktivitäten zu erkennen, die auf einen Exploit-Versuch hindeuten könnten. Überprüfen und verstärken Sie außerdem die Passwortrichtlinien, um potenzielle Auswirkungen zu minimieren, falls Passwort-Hashes kompromittiert werden. Es wird dringend empfohlen, die Ankündigungen von Focalboard bezüglich der Verfügbarkeit eines Sicherheitsupdates zu verfolgen.