JVNDB-2026-028171

Metabase, Inc.のMetabaseにおけるSQL インジェクションの脆弱性

Metabaseは、リモートの未認証攻撃者が「/reset_password」データベースエンドポイントを介して任意のSQLを注入し、接続されたMetabaseインスタンスの管理者アクセス権を取得できる脆弱性があります。

Metabase, Inc.

• Metabase 0.58.0 以上 0.58.24 未満
• Metabase 0.59.0 以上 0.59.21 未満
• Metabase 0.60.0 以上 0.60.17 未満
• Metabase 0.61.0 以上 0.61.11 未満
• Metabase 0.62.0 以上 0.62.9 未満
• Metabase 0.63.0 以上 0.63.5 未満
• Metabase 1.58.0 以上 1.58.24 未満
• Metabase 1.59.0 以上 1.59.21 未満
• Metabase 1.60.0 以上 1.60.17 未満
• Metabase 1.61.0 以上 1.61.11 未満
• Metabase 1.62.0 以上 1.62.9 未満
• Metabase 1.63.0 以上 1.63.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL injection using an unauthenticated endpoint leading to admin access  Advisory  metabase/metabase  GitHub
• Raw : https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-222-01.json

Metabase, Inc.

• Metabase : Security update available for Metabase - Please upgrade now

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-72898

1. National Vulnerability Database (NVD) : CVE-2026-72898
2. CISA Known Exploited Vulnerabilities Catalog : CVE-2026-72898

• [2026年08月13日]
    掲載