CVE-2026-72898
Inyección SQL en Metabase a través del endpoint de restablecimiento de contraseña
- Publicado
- 10 ago 2026
- Actualizado
- 12 ago 2026
- Asignación de CNA
- cisa-cg
- Evidencia observada
- 11 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XAlto · próximos 30 días
- Percentil
- 99,9 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Metabase permite a un atacante remoto no autenticado inyectar SQL arbitrario a través del endpoint de base de datos '/reset_password' y obtener acceso de administrador a la instancia de Metabase conectada.
Fuentes
http/cves/2026/CVE-2026-72898.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-72898Exploit
Exploit en Python para CVE-2026-72898, una inyección SQL no autenticada en el endpoint de restablecimiento de contraseña de Metabase que crea cuentas de administrador y extrae credenciales de la base de datos.
PoC de CVE-2026-72898 : Inyección SQL no autenticada en Metabase
- CVE-2026-72898-metabase-sqliDetección
Detector + análisis de causa raíz para CVE-2026-72898 (SQLi no autenticado en Metabase a través de reset_password)
- CVE-2026-72898Exploit
Exploit de inyección SQL ciega no autenticada para Metabase, que aprovecha una inyección SQL cruda en el endpoint de restablecimiento de contraseña para extraer datos mediante técnicas basadas en tiempo.
Corrige la inyección SQL no autenticada en un endpoint de configuración reemplazando las consultas JDBC sin procesar por parametrización ORM y validación de tokens en tiempo constante.
Exploit de prueba de concepto para CVE-2026-72898 en Metabase, con pasos técnicos de reproducción y guía de uso para validar la vulnerabilidad durante pruebas de penetración autorizadas.
Exploit de prueba de concepto para CVE-2026-72898, dirigido al comportamiento de Toucan2 con opciones de map malformadas para reproducir la vulnerabilidad y validar las rutas de consulta de bases de datos afectadas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.