CVE-2026-59826
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.
Ocena ryzyka
Atakujący administrator może przejąć kontrolę nad serwerem Metabase, co prowadzi do pełnej kompromitacji danych, w tym dostępu do poufnych informacji biznesowych i potencjalnego rozprzestrzenienia ataku w sieci wewnętrznej.
Rekomendacja
Niezwłocznie zaktualizuj Metabase do wersji 1.58.15.1, 1.59.12, 1.60.6.3 lub 1.61.2. Ogranicz uprawnienia administratorów do minimum niezbędnego do pracy.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open-source business intelligence and embedded analytics tool. From 1.55.0 until 1.58.15.1, 1.59.12, 1.60.6.3, and 1.61.2, Metabase did not validate unsafe H2 connection properties on one database-creation code path, allowing an authenticated administrator to register a crafted H2 database connection and execute arbitrary Java code on the Metabase server. This issue is fixed in versions 1.58.15.1, 1.59.12, 1.60.6.3, and 1.61.2.