Aktywnie wykorzystywana w atakach
Metabase SQL Injection Vulnerability
Metabase - Metabase · Figuruje w katalogu CISA KEV od 2026-08-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-72898
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
Ocena ryzyka
Atakujący może uzyskać pełne uprawnienia administratora, co prowadzi do całkowitej kompromitacji instancji Metabase i danych.
Rekomendacja
Zastosuj dostępne poprawki bezpieczeństwa dla Metabase i ogranicz dostęp do endpointu resetowania hasła.
Inne podatności w Metabase
Zobacz wszystkie- CVE-2026-72899Krytyczne
Metabase umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez publicznie udostępnioną kartę lub pulpit nawigacyjny, który udostępnia parametr filtra wymiaru.
- CVE-2026-50148Krytyczne
Podatność w Metabase pozwala użytkownikowi z uprawnieniami do dodawania lub edycji połączeń baz danych na zdalne wykonanie kodu na serwerze Metabase. Wykorzystuje ona wadę sterownika Snowflake JDBC, który umożliwia zapis dowolnych plików na hoście, w tym podmianę plików sterowników bazy danych Metabase, które następnie są wykonywane w procesie Metabase.
- CVE-2026-59827Krytyczne
Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.
- CVE-2026-59826Krytyczne
Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.
- CVE-2021-41277KrytyczneAktywnie exploitowane
Metabase to otwarta platforma analityczna. W podatnych wersjach odkryto problem bezpieczeństwa związany z obsługą niestandardowych map GeoJSON (admin->settings->maps->custom maps->add a map) i potencjalnym włączeniem lokalnych plików (w tym zmiennych środowiskowych). Adresy URL nie były weryfikowane przed załadowaniem.
- CVE-2026-92813Średnie
Metabase do wersji 0.63.18 nie waliduje poprawnie adresu 0.0.0.0 w niestandardowych adresach URL GeoJSON, co pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback. Atakujący mogą zapisać złośliwy wpis GeoJSON z adresem 0.0.0.0 i wywołać żądania, które zwracają odpowiedzi usług loopback nieuwierzytelnionym wywołującym.
- CVE-2026-86116Średnie
Metabase przed wersją 0.63.1 nie egzekwuje kontroli uprawnień analityka danych w punktach końcowych API słownika, co pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć, modyfikować i usuwać wpisy słownika. Atakujący mogą wysyłać żądania POST, PUT i DELETE do punktów końcowych słownika, aby manipulować danymi słownika biznesowego w całej instancji bez odpowiedniej autoryzacji.
- CVE-2026-72900Średnie
Metabase pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na odczyt całej bazy danych aplikacji Metabase.
- CVE-2026-50147Wysokie
Metabase od wersji 1.57.0 do 1.57.19.1, 1.58.14.1, 1.59.10 i 1.60.4 zawiera podatność, która pozwala atakującemu z dostępem do konfiguracji połączenia z bazą danych na odczyt dowolnych plików z systemu plików serwera Metabase. Poprzez dodanie niebezpiecznych parametrów JDBC do połączenia MySQL lub MariaDB, sterownik może odczytać pliki z hosta Metabase i ujawnić ich zawartość w zapytaniach lub komunikatach błędów walidacji.
Oryginalny opis (angielski, źródło NVD)
Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.