CVE-2026-72898-safe-detection

Einfaches Skript zur sicheren und nicht-destruktiven aktiven Erkennung von CVE-2026-72898 (SQLi in Metabase)

Es versucht festzustellen, ob eine Metabase-Instanz für die SQL-Injection-Schwachstelle im Passwort-Reset-Endpunkt anfällig ist. Das Skript ist so konzipiert, dass es sicher ist und dem Zielsystem keinen Schaden zufügt. Es versucht nicht, die Schwachstelle auszunutzen, indem es Daten ändert oder destruktive Aktionen durchführt. Das Skript sendet eine Reihe von Sleep- oder Delay-Payloads an die Ziel-Metabase-Instanz, um festzustellen, ob die SQL-Injection möglich ist, und misst die Antwortzeiten entsprechend. Es unterstützt mehrere Datenbanktypen und kann einen Brute-Force-Scan durchführen, um alle unterstützten Datenbanktypen zu testen, falls der Benutzer sich über den Datenbanktyp des Ziels unsicher ist.

Verwendung:

cve_2026_72898_scanner.py - A script to safely scan for CVE-2026-72898.

options:
  -h, --help            show this help message and exit
  --host HOST           Target Metabase host
  --port PORT           Target Metabase port
  --schema {http,https}
                        Target Metabase schema
  --db-type {mysql,postgres,mariadb}
                        Target Metabase application SQL database type
  --brute               Enable brute force mode (try all database types) - avoid as possible, as it may trigger rate limiting on the target system after around 10 requests with later exponential backoff on retry

Rechtlicher Haftungsausschluss

Dieses Tool dient ausschließlich Bildungszwecken und autorisierten Sicherheitstests. Verwenden Sie es nicht gegen Systeme ohne ausdrückliche schriftliche Genehmigung des Eigentümers.

Der Autor übernimmt keine Haftung und ist nicht verantwortlich für jeglichen Missbrauch, Schäden, Datenverlust oder rechtliche Konsequenzen, die durch dieses Programm verursacht werden. Die Nutzung erfolgt vollständig auf eigenes Risiko.