CVE-2026-72898: Metabase Metabase

Metabase contient une vulnérabilité d'injection SQL qui permet à un attaquant à distance non authentifié d'injecter du SQL arbitraire dans la base de données d'applications Metabase, qui peut leur donner accès à l'instance par l'administrateur. De là, l'attaquant pourrait modifier la configuration de l'application, voler les identifiants stockés pour les bases de données connectées, lire toutes les données accessibles par ces connexions, et exporter des données.

CISA (English)

Metabase contains a SQL Injection vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance. From there, the attacker could change the application configuration, steal stored credentials for the connected databases, read any data accessible through those connections, and export data.

Éditeur: Metabase
Produit: Metabase
Vulnérabilité: Metabase SQL Injection Vulnerability
Date d’ajout: 11 août 2026
Échéance CISA (agences fédérales américaines): 14 août 2026
Usage connu dans des campagnes de rançongiciels: Inconnu
Faiblesse (CWE): CWE-89

Références

Ce site résume le catalogue de la CISA à titre d’information uniquement. Ce n’est pas un conseil de sécurité : suivez les consignes de l’éditeur et les avis officiels.

Dernière mise à jour: 4 oct. 2026 17:31 UTC · Version du catalogue 2026.10.02