CVE-2026-72898-safe-detection

Script sencillo para lograr una detección activa segura y no destructiva de CVE-2026-72898 (SQLi en Metabase)

Intenta determinar si una instancia de Metabase es vulnerable a la vulnerabilidad de inyección SQL en el endpoint de restablecimiento de contraseña. El script está diseñado para ser seguro y no causar ningún daño al sistema objetivo. No intenta explotar la vulnerabilidad modificando ningún dato ni realizando acciones destructivas. El script envía una serie de payloads de sleep o delay a la instancia de Metabase objetivo para determinar si la inyección SQL es posible y mide los tiempos de respuesta en consecuencia. Admite múltiples tipos de bases de datos y puede realizar un escaneo de fuerza bruta para probar todos los tipos de bases de datos admitidos si el usuario no está seguro del tipo de base de datos del objetivo.

Uso:

cve_2026_72898_scanner.py - A script to safely scan for CVE-2026-72898.

options:
  -h, --help            show this help message and exit
  --host HOST           Target Metabase host
  --port PORT           Target Metabase port
  --schema {http,https}
                        Target Metabase schema
  --db-type {mysql,postgres,mariadb}
                        Target Metabase application SQL database type
  --brute               Enable brute force mode (try all database types) - avoid as possible, as it may trigger rate limiting on the target system after around 10 requests with later exponential backoff on retry

Aviso legal

Esta herramienta es estrictamente para fines educativos y pruebas de seguridad autorizadas. No la utilice contra sistemas sin el permiso escrito explícito del propietario.

El autor no asume ninguna responsabilidad y no es responsable de ningún uso indebido, daño, pérdida de datos o consecuencias legales causadas por este programa. Úselo enteramente bajo su propio riesgo.