CVE-2026-72898: SQL injection critica in Metabase

SQL injection non autenticata su Metabase con accesso amministratore remoto. CVSS 10.

CVE-2026-72898 espone una vulnerabilità critica di SQL injection in Metabase. Un attacker remoto, senza autenticazione, può iniettare comandi SQL arbitrari tramite l'endpoint '/reset_password' per ottenere accesso amministratore alla istanza Metabase connessa. Questo bypass completo dell'autenticazione colpisce direttamente i sistemi di BI e analytics aziendali.

Il punteggio CVSS è 10,0 (massimo), con gravità critical. Segnali social non verificati riportano inclusione in CISA KEV e sfruttamento attivo documentato con PoC pubblico, indicando una minaccia reale e immediata.

Priorità assoluta: aggiornare Metabase alle versioni corrette senza ritardo. Verificare immediatamente i log di accesso e database per attività anomale su '/reset_password' dalla pubblicazione della vulnerabilità. Implementare WAF o filtri di rete per limitare l'accesso all'endpoint in questione fino alla patch. Monitorare i vostri Metabase per tentativi di sfruttamento.

In sintesi

Cosa: Metabase consente SQL injection non autenticata tramite l'endpoint '/reset_password', permettendo a un attacker remoto di ottenere accesso amministratore alla istanza connessa.
Gravità: CVSS 10,0 (critical) - punteggio massimo, impatto critico su confidenzialità, integrità e disponibilità del sistema.
Versioni interessate: Non riportate nella descrizione ufficiale NVD.
Correzione: Versioni corrette disponibili (specifiche non riportate dalla NVD; consultare advisory ufficiale Metabase).
Stato: Segnali social non verificati riportano inclusione in CISA KEV, sfruttamento attivo e disponibilità di PoC pubblico.
Azione: Aggiornare Metabase immediatamente alle versioni corrette. Verificare log di accesso per attività anomale su '/reset_password'. Limitare accesso all'endpoint con WAF/filtri di rete fino alla patch.

Fonti: NVD, CVE-2026-72898

← Tutti gli articoli