Kriittisiä haavoittuvuuksia Metabase-ohjelmistossa
Metabase on julkaissut korjauspäivityksen kriittiseen, aktiivisesti hyväksikäytettyyn nollapäivähaavoittuvuuteen. Haavoittuvuus mahdollistaa tunnistautumattoman hyökkääjän suorittaa SQL-injektiohyökkäyksen etänä.
Haavoittuvuuden yhteenveto
- Haavoittuvuus: 22/2026
- Tunnisteet: CVE-2026-72898 / CVE-2026-72898
- Vakavuus: 10.0 (CVSS 4.0 - kriittinen)
- Kohde: Metabase
- Vaikutus: Mahdollistaa SQL-injektoinnin etänä autentikoimattomalle hyökkääjälle, minkä avulla hyökkääjän on mahdollista saada pääkäyttäjätason oikeudet Metabase-ympäristöön.
- Korjaustoimet: Korjaavat päivitykset ovat saatavilla, päivitä haavoittuvat versiot välittömästi.
Haavoittuvuuden kohde
Haavoittuvuudet vaikuttavat seuraaviin Metabasen versioihin:
0.63.x ennen 0.63.5
0.62.x ennen 0.62.9
0.61.x ennen 0.61.11
0.60.x ennen 0.60.17
0.59.x ennen 0.59.21
0.58.x ennen 0.58.24
Mistä on kysymys?
Metabase julkaisi 6.8.2026 tiedotteen nollapäivähaavoittuvuudesta jota oltiin hyödynnetty hyökkäyksessä Metabase Cloud -ohjelmistoon. Metabase on korjannut ja päivittänyt ohjelmiston ja korjatut versiot on otettu käyttöön kaikille Metabase Cloud -ohjelmiston käyttäjille. Itse ylläpidettyjen (self-hosted) ympäristöjen omistajia kehoitetaan päivittämään haavoittuvat versiot välittömästi. Haavoittuvuuksia käytetään aktiivisesti hyväksi.
CVE-2026-72898: Haavoittuvuus mahdollistaa etänä ja ilman tunnistautumista tehtävän mielivaltaisen SQL-injektion `/reset_password`-tietokannan päätepisteen kautta, minkä avulla hyökkääjä voi saada pääkäyttäjätason oikeudet Metabase-ympäristöön.
CVE-2026-72899: Haavoittuvuus mahdollistaa etänä ja ilman tunnistautumista tehtävän mielivaltaisen SQL-injektion, mikäli se sisältää kenttäsuodattimen (dimension) parametrin.
Mitä voin tehdä?
Haavoittuvuuksiin on saatavilla korjaavat päivitykset ja niiden asentamista suositellaan välittömästi.
Päivitä Metabasen versiot:
0.63.x versioon 0.63.5
0.62.x versioon 0.62.9
0.61.x versioon 0.61.11
0.60.x versioon 0.60.17
0.59.x versioon 0.59.21
0.58.x versioon 0.58.24