CVE-2026-50148
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność w Metabase pozwala użytkownikowi z uprawnieniami do dodawania lub edycji połączeń baz danych na zdalne wykonanie kodu na serwerze Metabase. Wykorzystuje ona wadę sterownika Snowflake JDBC, który umożliwia zapis dowolnych plików na hoście, w tym podmianę plików sterowników bazy danych Metabase, które następnie są wykonywane w procesie Metabase.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem Metabase, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego rozprzestrzenienia się ataku w infrastrukturze.
Rekomendacja
Niezwłocznie zaktualizuj Metabase do jednej z załatanych wersji: 1.54.24, 1.55.24, 1.56.25, 1.57.19, 1.58.14, 1.59.10 lub 1.60.4. Ogranicz uprawnienia do konfiguracji połączeń baz danych tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open-source business intelligence and embedded analytics tool. From 1.54.0 until 1.54.24, 1.55.24, 1.56.25, 1.57.19, 1.58.14, 1.59.10, and 1.60.4, a Metabase user with permission to add or edit a database connection can achieve remote code execution on the Metabase server by configuring a Snowflake connection to an attacker-controlled server, because a flaw in the Snowflake JDBC driver can write arbitrary files anywhere on the Metabase host, including replacing one of Metabase's own database driver files that later executes inside the Metabase process. This issue is fixed in versions 1.54.24, 1.55.24, 1.56.25, 1.57.19, 1.58.14, 1.59.10, and 1.60.4.