Focalboard ne désinfecte pas les identifiants de catégorie avant de les incorporer dans des instructions SQL dynamiques

L'exploitation réussie de cette vulnérabilité permet à un attaquant authentifié d'exfiltrer des données sensibles de la base de données Focalboard. L'attaquant peut injecter une charge utile SQL dans le champ identifiant de catégorie, qui est stocké dans la base de données et ensuite exécuté sans validation lors de la réorganisation des catégories. Cette injection SQL de second ordre, étant aveugle et basée sur le temps, rend l'extraction des données plus complexe mais reste réalisable. Les données compromises peuvent inclure des hachages de mots de passe, des informations sur les utilisateurs et potentiellement d'autres données sensibles stockées dans la base de données. Bien que Focalboard soit un outil de gestion de projet, la compromission de ses données d'authentification pourrait avoir des implications significatives pour la sécurité des informations qu'il gère.

Organizations using Focalboard for project management, particularly those relying on it for sensitive data storage, are at risk. The lack of support means that these organizations are exposed to a known vulnerability with no official remediation path. Shared hosting environments where multiple users have access to the Focalboard instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts.

• linux / server: Monitor database logs (e.g., MySQL slow query log) for unusual SQL queries involving category IDs. Use journalctl to filter for errors related to SQL execution.

journalctl -u mysqld -g 'category id' --since '1h'

• generic web: Use curl to test the category reordering API with various inputs, looking for unusual response times or errors.

curl -X POST -d 'category_id=1; SELECT sleep(5);' <reordering_api_endpoint>

• database (mysql): Check for suspicious stored procedures or functions that might be used to exploit the vulnerability.

SHOW PROCEDURE STATUS WHERE db = 'focalboard' AND Name LIKE '%category%';

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-04-03
2. Publiée2026-04-03
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-11

Étant donné que Focalboard n'est plus maintenu et qu'aucune correction n'est prévue, la mitigation de cette vulnérabilité est difficile. Une approche temporaire consiste à désactiver l'API de réorganisation des catégories si elle n'est pas essentielle. Il est également recommandé de limiter les privilèges des utilisateurs pour réduire l'impact potentiel d'une attaque réussie. La surveillance des journaux d'accès et d'erreurs pour détecter des requêtes SQL suspectes peut aider à identifier les tentatives d'exploitation. En l'absence de correctifs, une migration vers une solution alternative de gestion de projet est fortement recommandée.