CVE-2026-50147
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Metabase od wersji 1.57.0 do 1.57.19.1, 1.58.14.1, 1.59.10 i 1.60.4 zawiera podatność, która pozwala atakującemu z dostępem do konfiguracji połączenia z bazą danych na odczyt dowolnych plików z systemu plików serwera Metabase. Poprzez dodanie niebezpiecznych parametrów JDBC do połączenia MySQL lub MariaDB, sterownik może odczytać pliki z hosta Metabase i ujawnić ich zawartość w zapytaniach lub komunikatach błędów walidacji.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych, takich jak pliki konfiguracyjne, klucze prywatne lub dane uwierzytelniające, przechowywane na serwerze Metabase, co może prowadzić do dalszej eskalacji uprawnień lub naruszenia bezpieczeństwa całej infrastruktury.
Rekomendacja
Należy niezwłocznie zaktualizować Metabase do wersji 1.57.19.1, 1.58.14.1, 1.59.10 lub 1.60.4, w zależności od używanej gałęzi wydań. Dodatkowo, ogranicz dostęp do konfiguracji połączeń bazodanowych tylko dla zaufanych użytkowników.
Inne podatności w Metabase
Zobacz wszystkie- CVE-2026-72899Krytyczne
Metabase umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez publicznie udostępnioną kartę lub pulpit nawigacyjny, który udostępnia parametr filtra wymiaru.
- CVE-2026-72898KrytyczneAktywnie exploitowane
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
- CVE-2026-50148Krytyczne
Podatność w Metabase pozwala użytkownikowi z uprawnieniami do dodawania lub edycji połączeń baz danych na zdalne wykonanie kodu na serwerze Metabase. Wykorzystuje ona wadę sterownika Snowflake JDBC, który umożliwia zapis dowolnych plików na hoście, w tym podmianę plików sterowników bazy danych Metabase, które następnie są wykonywane w procesie Metabase.
- CVE-2026-59827Krytyczne
Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.
- CVE-2026-59826Krytyczne
Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.
- CVE-2026-72900Średnie
Metabase pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na odczyt całej bazy danych aplikacji Metabase.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open-source business intelligence and embedded analytics tool. From 1.57.0 until 1.57.19.1, 1.58.14.1, 1.59.10, and 1.60.4, an attacker who can configure a Metabase database connection can read arbitrary files from the Metabase server's filesystem by adding unsafe JDBC parameters to a MySQL or MariaDB connection, causing the driver to read files from the Metabase host and expose the contents through queries against the connected database or through validation error messages. This issue is fixed in versions 1.57.19.1, 1.58.14.1, 1.59.10, and 1.60.4.