CVE-2026-25773 in Focalboard
Riassunto
di VulDB • 21/06/2026
** NON SUPPORTATO IN CASO DI ASSEGNAZIONE ** La versione 8.0 di Focalboard non sanifica gli ID delle categorie prima di incorporarli nelle istruzioni SQL dinamiche durante il riordinamento delle categorie. Un attaccante può iniettare un payload SQL dannoso nel campo dell'ID della categoria, che viene memorizzato nel database ed eseguito successivamente senza sanitizzazione quando l'API di riordinamento delle categorie elabora il valore memorizzato. Questa Second-Order SQL Injection (Time-Based Blind) consente a un attaccante autenticato di esfiltrare dati sensibili, inclusi gli hash delle password di altri utenti. NOTA: Focalboard, come prodotto autonomo, non è più mantenuto e non verrà rilasciato alcun fix.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.