Focalboardカテゴリ並べ替えエンドポイントのセカンドオーダSQLインジェクションにより、データ流出が可能（サポートされていない製品、修正なし）

CVE-2026-25773 は Focalboard のバージョン 8.0 に影響を与え、セカンドオーダーの SQL インジェクション（Time-Based Blind）の脆弱性を露呈させます。この欠陥は、アプリケーションがカテゴリの ID をカテゴリの並べ替えプロセス中に動的 SQL ステートメントに組み込む前に、適切にサニタイズしないために発生します。認証された攻撃者は、カテゴリ ID フィールドに悪意のある SQL ペイロードを注入でき、これはデータベースに保存され、カテゴリ並べ替え API が保存された値を処理するときに適切に検証されずに後で実行されます。これにより、時間ベースのブラインド SQL インジェクション技術を通じて、パスワードハッシュを含む機密データの漏洩が可能になります。この問題の深刻度は CVSS 8.1 と評価されており、重大なリスクを示しています。

Organizations using Focalboard for project management, particularly those relying on it for sensitive data storage, are at risk. The lack of support means that these organizations are exposed to a known vulnerability with no official remediation path. Shared hosting environments where multiple users have access to the Focalboard instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts.

• linux / server: Monitor database logs (e.g., MySQL slow query log) for unusual SQL queries involving category IDs. Use journalctl to filter for errors related to SQL execution.

journalctl -u mysqld -g 'category id' --since '1h'

• generic web: Use curl to test the category reordering API with various inputs, looking for unusual response times or errors.

curl -X POST -d 'category_id=1; SELECT sleep(5);' <reordering_api_endpoint>

• database (mysql): Check for suspicious stored procedures or functions that might be used to exploit the vulnerability.

SHOW PROCEDURE STATUS WHERE db = 'focalboard' AND Name LIKE '%category%';

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-04-03
2. 公開日2026-04-03
3. 更新日2026-04-06
4. EPSS 更新日2026-04-11

現在、CVE-2026-25773 に対しては修正プログラム (fix) は利用できません。最も効果的な即時の軽減策は、セキュリティアップデートが利用可能になったら、Focalboard の脆弱性が修正されたバージョンにアップグレードすることです。その間は、カテゴリ並べ替え API へのアクセスを最小限の特権を持つユーザーに制限します。脆弱性の悪用を試みる可能性のある異常なトラフィックパターンを検出するために、データベースの徹底的な監視を実装します。さらに、パスワードハッシュが侵害された場合に発生する可能性のある影響を最小限に抑えるために、パスワードポリシーを見直し、強化します。Focalboard からのセキュリティアップデートの発表に注意を払うことを強くお勧めします。