Aktywnie wykorzystywana w atakach
Metabase SQL Injection Vulnerability
Metabase - Metabase · Figuruje w katalogu CISA KEV od 2026-08-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-72898
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Metabase umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez endpoint bazy danych '/reset_password' i uzyskanie dostępu administratora do połączonej instancji Metabase.
Ocena ryzyka
Atakujący może uzyskać pełne uprawnienia administratora, co prowadzi do całkowitej kompromitacji instancji Metabase i danych.
Rekomendacja
Zastosuj dostępne poprawki bezpieczeństwa dla Metabase i ogranicz dostęp do endpointu resetowania hasła.
Oryginalny opis (angielski, źródło NVD)
Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.