CVE-2026-72898: Metabase Metabase

Metabase bevat een SQL injectie kwetsbaarheid waarmee een niet-geauthenticeerde aanvaller op afstand willekeurige SQL kan injecteren in de Metabase-applicatiedatabase, die hen de beheerder toegang kan geven tot de instantie. Vanaf daar kon de aanvaller de configuratie van de applicatie wijzigen, opgeslagen referenties stelen voor de aangesloten databases, alle via die verbindingen toegankelijke gegevens lezen en gegevens exporteren.

CISA (English)

Metabase contains a SQL Injection vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance. From there, the attacker could change the application configuration, steal stored credentials for the connected databases, read any data accessible through those connections, and export data.

Leverancier: Metabase
Product: Metabase
Kwetsbaarheid: Metabase SQL Injection Vulnerability
Toegevoegd op: 11 aug 2026
CISA-termijn (Amerikaanse federale instanties): 14 aug 2026
Bekend gebruik in ransomwarecampagnes: Onbekend
Zwakte (CWE): CWE-89

Referenties

Deze site vat de CISA-catalogus alleen ter informatie samen. Het is geen beveiligingsadvies – volg de richtlijnen van uw leverancier en officiële adviezen.

Laatst bijgewerkt: 4 okt 2026 17:31 UTC · Catalogusversie 2026.10.02