PT-2026-30041 · Unknown · Focalboard

CVE-2026-25773 · Publicado 2026-04-03 · Atualizado 2026-06-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Focalboard versão 8.0

Description A versão 8.0 do Focalboard não higieniza adequadamente os IDs das categorias antes de usá-los em consultas SQL ao reorganizar as categorias. Isso pode permitir que um invasor injete código SQL malicioso no campo ID da categoria, que é então executado sem a devida higienização quando a API de reorganização de categorias processa o valor armazenado. Essa Injeção SQL de Segunda Ordem (Baseada em Tempo Cego) pode permitir que um invasor autenticado obtenha dados confidenciais, incluindo hashes de senha de outros usuários.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-25773

GHSA-P32Q-V29X-WQ9R

GO-2026-5524

Produtos afetados

Focalboard

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25773.json · Exploit
• https://github.com/mattermost-community/focalboard · Nota
• https://twitter.com/TheHackerWire/status/2040342924760908075 · Publicação no Twitter
• https://t.me/cveNotify/161171 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2026-5524 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2040111921417134145 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-p32q-v29x-wq9r · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2040113614812582285 · Publicação no Twitter
• https://github.com/advisories/GHSA-p32q-v29x-wq9r · Nota
• https://osv.dev/vulnerability/CVE-2026-25773 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-25773 · Nota de Segurança