Focalboard Second-Order SQL Injection in endpoint voor het herschikken van categorieën maakt data-exfiltratie mogelijk (niet-ondersteund product, geen oplossing)

CVE-2026-25773 heeft invloed op Focalboard versie 8.0 en onthult een kwetsbaarheid voor SQL-injectie van de tweede orde (Time-Based Blind). Deze fout treedt op omdat de applicatie categorie-ID's niet correct opschoont voordat ze worden opgenomen in dynamische SQL-statements tijdens het proces van het herschikken van categorieën. Een geauthenticeerde aanvaller kan een kwaadaardige SQL-payload injecteren in het categorie-ID-veld, dat in de database wordt opgeslagen en vervolgens ongefilterd wordt uitgevoerd wanneer de categorie-herschik API de opgeslagen waarde verwerkt. Dit maakt de exfiltratie van gevoelige gegevens, waaronder wachtwoordhashes, mogelijk via een time-based blind SQL-injectietechniek. De ernst van het probleem wordt beoordeeld als CVSS 8.1, wat een aanzienlijk risico aangeeft.

Organizations using Focalboard for project management, particularly those relying on it for sensitive data storage, are at risk. The lack of support means that these organizations are exposed to a known vulnerability with no official remediation path. Shared hosting environments where multiple users have access to the Focalboard instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts.

• linux / server: Monitor database logs (e.g., MySQL slow query log) for unusual SQL queries involving category IDs. Use journalctl to filter for errors related to SQL execution.

journalctl -u mysqld -g 'category id' --since '1h'

• generic web: Use curl to test the category reordering API with various inputs, looking for unusual response times or errors.

curl -X POST -d 'category_id=1; SELECT sleep(5);' <reordering_api_endpoint>

• database (mysql): Check for suspicious stored procedures or functions that might be used to exploit the vulnerability.

SHOW PROCEDURE STATUS WHERE db = 'focalboard' AND Name LIKE '%category%';

1. 2026-04-03Disclosure

   disclosure

1. Gereserveerd2026-04-03
2. Gepubliceerd2026-04-03
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-11

Momenteel is er geen fix beschikbaar voor CVE-2026-25773. De meest effectieve onmiddellijke mitigatie is om te upgraden naar een versie van Focalboard die deze kwetsbaarheid aanpakt zodra deze beschikbaar is. Beperk in de tussentijd de toegang tot de categorie-herschik API tot gebruikers met minimale privileges. Implementeer een grondige databasebewaking om ongebruikelijke netwerkpatronen te detecteren die kunnen wijzen op een poging tot exploitatie. Controleer en versterk bovendien wachtwoordbeleid om potentiële impact te minimaliseren in het geval dat wachtwoordhashes worden gecompromitteerd. Het is ten zeerste aan te raden om op de hoogte te blijven van aankondigingen van Focalboard met betrekking tot de beschikbaarheid van een beveiligingsupdate.