CVE-2026-72898: Metabase Metabase

Metabase contém uma vulnerabilidade SQL Injection que permite a um atacante remoto não autenticado injetar SQL arbitrário no banco de dados de aplicativos Metabase, que pode dar-lhes acesso de administrador à instância. A partir daí, o atacante poderia alterar a configuração da aplicação, roubar credenciais armazenadas para os bancos de dados conectados, ler qualquer dado acessível através dessas conexões e exportar dados.

CISA (English)

Metabase contains a SQL Injection vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance. From there, the attacker could change the application configuration, steal stored credentials for the connected databases, read any data accessible through those connections, and export data.

Fabricante: Metabase
Produto: Metabase
Vulnerabilidade: Metabase SQL Injection Vulnerability
Data de inclusão: 11 de ago. de 2026
Prazo da CISA (agências federais dos EUA): 14 de ago. de 2026
Uso conhecido em campanhas de ransomware: Desconhecido
Fraqueza (CWE): CWE-89

Referências

Este site resume o catálogo da CISA apenas para fins informativos. Não é orientação de segurança — siga as instruções do fabricante e os avisos oficiais.

Última atualização: 4 de out. de 2026 17:31 UTC · Versão do catálogo 2026.10.02