CVE-2026-59827
Metabase: Unsichere Deserialisierung von H2-Abfrageergebnissen
- Veröffentlicht
- 09.07.2026
- Aktualisiert
- 09.07.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 87,8 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Metabase ist ein Open-Source-Tool für Business Intelligence und eingebettete Analytik. Vor den Versionen 1.58.15, 1.59.12, 1.60.6.3 und 1.61.1.4 deserialisieren Metabase-Instanzen mit einer H2-Datenbankverbindung, einschließlich der Standard-Beispieldatenbank, ohne Validierung beliebige Java-Objekte, die in Spalten vom Typ OTHER von nativen H2-Abfrageergebnissen zurückgegeben werden. Dadurch kann ein authentifizierter Benutzer, der native H2-Abfragen ausführen kann, Code auf dem Metabase-Server ausführen. Dieses Problem ist in den Versionen 1.58.15, 1.59.12, 1.60.6.3 und 1.61.1.4 behoben.
Quellen
5Blog über CVE-2026-59827, unsichere Deserialisierung der H2-Abfrageausgabe
- CVE-2026-59827Exploit
Technische Analyse und Proof of Concept für CVE-2026-59827, eine kritische unsichere Java-Deserialisierungsschwachstelle in Metabase, die zu Remote-Code-Ausführung führt.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.