Aktywnie wykorzystywana w atakach
Metabase GeoJSON API Local File Inclusion Vulnerability
Metabase - Metabase · Figuruje w katalogu CISA KEV od 2024-11-12. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2021-41277
KrytyczneCVSS 10.0KEVStreszczenie
Metabase to otwarta platforma analityczna. W podatnych wersjach odkryto problem bezpieczeństwa związany z obsługą niestandardowych map GeoJSON (admin->settings->maps->custom maps->add a map) i potencjalnym włączeniem lokalnych plików (w tym zmiennych środowiskowych). Adresy URL nie były weryfikowane przed załadowaniem.
Ocena ryzyka
Atakujący może odczytać lokalne pliki, w tym zmienne środowiskowe zawierające poufne dane, takie jak hasła czy klucze API. Może to prowadzić do dalszych ataków i eskalacji uprawnień.
Rekomendacja
Zaktualizuj Metabase do wersji 0.40.5, 1.40.5 lub nowszej. Jeśli aktualizacja nie jest możliwa, dodaj reguły w reverse proxy, load balancerze lub WAF, aby filtrować i walidować adresy URL przed załadowaniem.
Inne podatności w Metabase
Zobacz wszystkie- CVE-2026-92813Średnie
Metabase do wersji 0.63.18 nie waliduje poprawnie adresu 0.0.0.0 w niestandardowych adresach URL GeoJSON, co pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback. Atakujący mogą zapisać złośliwy wpis GeoJSON z adresem 0.0.0.0 i wywołać żądania, które zwracają odpowiedzi usług loopback nieuwierzytelnionym wywołującym.
- CVE-2026-72899Krytyczne
Metabase umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez publicznie udostępnioną kartę lub pulpit nawigacyjny, który udostępnia parametr filtra wymiaru.
- CVE-2026-72898KrytyczneAktywnie exploitowane
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
- CVE-2026-50148Krytyczne
Podatność w Metabase pozwala użytkownikowi z uprawnieniami do dodawania lub edycji połączeń baz danych na zdalne wykonanie kodu na serwerze Metabase. Wykorzystuje ona wadę sterownika Snowflake JDBC, który umożliwia zapis dowolnych plików na hoście, w tym podmianę plików sterowników bazy danych Metabase, które następnie są wykonywane w procesie Metabase.
- CVE-2026-59827Krytyczne
Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.
- CVE-2026-59826Krytyczne
Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.
- CVE-2026-86116Średnie
Metabase przed wersją 0.63.1 nie egzekwuje kontroli uprawnień analityka danych w punktach końcowych API słownika, co pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć, modyfikować i usuwać wpisy słownika. Atakujący mogą wysyłać żądania POST, PUT i DELETE do punktów końcowych słownika, aby manipulować danymi słownika biznesowego w całej instancji bez odpowiedniej autoryzacji.
- CVE-2026-72900Średnie
Metabase pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na odczyt całej bazy danych aplikacji Metabase.
- CVE-2026-50147Wysokie
Metabase od wersji 1.57.0 do 1.57.19.1, 1.58.14.1, 1.59.10 i 1.60.4 zawiera podatność, która pozwala atakującemu z dostępem do konfiguracji połączenia z bazą danych na odczyt dowolnych plików z systemu plików serwera Metabase. Poprzez dodanie niebezpiecznych parametrów JDBC do połączenia MySQL lub MariaDB, sterownik może odczytać pliki z hosta Metabase i ujawnić ich zawartość w zapytaniach lub komunikatach błędów walidacji.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.