Katalog CVE
CVE-2026-72898
KrytyczneCVSS 10.0Streszczenie
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
Ocena ryzyka
Atakujący może uzyskać pełne uprawnienia administratora, co prowadzi do całkowitej kompromitacji instancji Metabase i danych.
Rekomendacja
Zastosuj dostępne poprawki bezpieczeństwa dla Metabase i ogranicz dostęp do endpointu resetowania hasła.
Oryginalny opis (angielski, źródło NVD)
Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.