CVE-2026-59827
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem Metabase, uzyskać dostęp do danych, zmodyfikować je lub zakłócić działanie usługi, co stanowi krytyczne ryzyko dla poufności, integralności i dostępności systemu.
Rekomendacja
Niezwłocznie zaktualizuj Metabase do wersji 1.58.15, 1.59.12, 1.60.6.3 lub 1.61.1.4 w zależności od używanej gałęzi. Ogranicz dostęp do natywnych zapytań H2 tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Metabase is an open-source business intelligence and embedded analytics tool. Prior to 1.58.15, 1.59.12, 1.60.6.3, and 1.61.1.4, Metabase instances with an H2 database connection, including the default sample database, deserialize arbitrary Java objects returned in H2 native query result columns of type OTHER without validation, allowing an authenticated user who can run native H2 queries to execute code on the Metabase server. This issue is fixed in versions 1.58.15, 1.59.12, 1.60.6.3, and 1.61.1.4.