Injeção SQL de Segunda Ordem Focalboard no endpoint de reordenação de categoria permite exfiltração de dados (produto não suportado, sem correção)

A CVE-2026-25773 afeta o Focalboard versão 8.0, expondo uma vulnerabilidade de injeção SQL de segunda ordem (Time-Based Blind). Essa falha ocorre porque o aplicativo não sanitiza corretamente os IDs de categoria antes de incorporá-los em sentenças SQL dinâmicas durante o processo de reordenação de categorias. Um atacante autenticado pode injetar uma carga útil SQL maliciosa no campo do ID de categoria, que é armazenado no banco de dados e posteriormente executado sem uma validação adequada. Isso permite a exfiltração de dados sensíveis, incluindo hashes de senhas, através de uma técnica de injeção SQL cega baseada no tempo. A gravidade do problema é classificada como CVSS 8.1, indicando um risco significativo.

Organizations using Focalboard for project management, particularly those relying on it for sensitive data storage, are at risk. The lack of support means that these organizations are exposed to a known vulnerability with no official remediation path. Shared hosting environments where multiple users have access to the Focalboard instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts.

• linux / server: Monitor database logs (e.g., MySQL slow query log) for unusual SQL queries involving category IDs. Use journalctl to filter for errors related to SQL execution.

journalctl -u mysqld -g 'category id' --since '1h'

• generic web: Use curl to test the category reordering API with various inputs, looking for unusual response times or errors.

curl -X POST -d 'category_id=1; SELECT sleep(5);' <reordering_api_endpoint>

• database (mysql): Check for suspicious stored procedures or functions that might be used to exploit the vulnerability.

SHOW PROCEDURE STATUS WHERE db = 'focalboard' AND Name LIKE '%category%';

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-04-03
2. Publicada2026-04-03
3. Modificada2026-04-06
4. EPSS atualizado2026-04-11

Atualmente, não há uma solução (fix) disponível para CVE-2026-25773. A mitigação imediata mais eficaz é atualizar para uma versão do Focalboard que corrija essa vulnerabilidade assim que estiver disponível. Enquanto isso, restrinja o acesso à API de reordenação de categorias a usuários com privilégios mínimos. Implemente um monitoramento abrangente do banco de dados para detectar padrões de tráfego incomuns que possam indicar uma tentativa de exploração. Além disso, revise e fortaleça as políticas de senhas para minimizar o impacto potencial caso os hashes de senhas sejam comprometidos. Recomenda-se fortemente ficar atento aos anúncios do Focalboard sobre a disponibilidade de uma atualização de segurança.