Focalboard doesn't validate file ownership when serving uploaded files

中 4.3CVE-2026-28736 · GHSA-vph7-r229-qxpf · GO-2026-5670 · 03/04/2026 公開 · 23/10/2026 更新

要点

CVE-2026-28736 は github.com/mattermost/focalboard, focalboard (mattermost) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.23%（全脆弱性の 13.9% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/mattermost/focalboard Go	`≤ 7.10.6全バージョン`	修正版なし
focalboard mattermost	`= 8.0.0`	修正版なし

概要

** UNSUPPORTED WHEN ASSIGNED ** Focalboard version 8.0 fails to validate file ownership when serving uploaded files. This allows an authenticated attacker who knows a victim's fileID to read the content of the file. NOTE: Focalboard as a standalone product is not maintained and no fix will be issued.

NVD の説明