Focalboardバージョン8.0では、カテゴリの並べ替え時にカテゴリIDを動的SQL文に組み込む前にサニタイズしません。攻撃者はカテゴリIDフィールドに悪意のあるSQLペイロードを注入でき、このフィールドはデータベースに保存されます。その後、カテゴリ並べ替えAPIが保存された値を処理する際にサニタイズせずに実行します。このセカンドオーダーSQLインジェクション攻撃（時間ベースのブラインド）により、認証された攻撃者は他のユーザーのパスワードハッシュを含む機密データを漏洩させることが可能です。なお、Focalboardは単独製品としてメンテナンスされておらず、修正は提供されません。

参考情報を参照して適切な対策を実施してください。