CVE-2026-59826
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.
Ocena ryzyka
Atakujący administrator może przejąć kontrolę nad serwerem Metabase, co prowadzi do pełnej kompromitacji danych, w tym dostępu do poufnych informacji biznesowych i potencjalnego rozprzestrzenienia ataku w sieci wewnętrznej.
Rekomendacja
Niezwłocznie zaktualizuj Metabase do wersji 1.58.15.1, 1.59.12, 1.60.6.3 lub 1.61.2. Ogranicz uprawnienia administratorów do minimum niezbędnego do pracy.
Inne podatności w Metabase
Zobacz wszystkie- CVE-2026-72899Krytyczne
Metabase umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez publicznie udostępnioną kartę lub pulpit nawigacyjny, który udostępnia parametr filtra wymiaru.
- CVE-2026-72898KrytyczneAktywnie exploitowane
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
- CVE-2026-50148Krytyczne
Podatność w Metabase pozwala użytkownikowi z uprawnieniami do dodawania lub edycji połączeń baz danych na zdalne wykonanie kodu na serwerze Metabase. Wykorzystuje ona wadę sterownika Snowflake JDBC, który umożliwia zapis dowolnych plików na hoście, w tym podmianę plików sterowników bazy danych Metabase, które następnie są wykonywane w procesie Metabase.
- CVE-2026-59827Krytyczne
Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.
- CVE-2026-86116Średnie
Metabase przed wersją 0.63.1 nie egzekwuje kontroli uprawnień analityka danych w punktach końcowych API słownika, co pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć, modyfikować i usuwać wpisy słownika. Atakujący mogą wysyłać żądania POST, PUT i DELETE do punktów końcowych słownika, aby manipulować danymi słownika biznesowego w całej instancji bez odpowiedniej autoryzacji.
- CVE-2026-72900Średnie
Metabase pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na odczyt całej bazy danych aplikacji Metabase.
- CVE-2026-50147Wysokie
Metabase od wersji 1.57.0 do 1.57.19.1, 1.58.14.1, 1.59.10 i 1.60.4 zawiera podatność, która pozwala atakującemu z dostępem do konfiguracji połączenia z bazą danych na odczyt dowolnych plików z systemu plików serwera Metabase. Poprzez dodanie niebezpiecznych parametrów JDBC do połączenia MySQL lub MariaDB, sterownik może odczytać pliki z hosta Metabase i ujawnić ich zawartość w zapytaniach lub komunikatach błędów walidacji.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open-source business intelligence and embedded analytics tool. From 1.55.0 until 1.58.15.1, 1.59.12, 1.60.6.3, and 1.61.2, Metabase did not validate unsafe H2 connection properties on one database-creation code path, allowing an authenticated administrator to register a crafted H2 database connection and execute arbitrary Java code on the Metabase server. This issue is fixed in versions 1.58.15.1, 1.59.12, 1.60.6.3, and 1.61.2.