Herramienta autorizada de pruebas de penetración para Metabase CVE-2026-59827

Una utilidad de evaluación de seguridad autorizada para validar la presencia de CVE-2026-59827 en implementaciones de Metabase durante proyectos aprobados de pruebas de penetración.

Esta herramienta está diseñada para demostrar la existencia de la vulnerabilidad minimizando el impacto mediante demostraciones controladas de prueba de concepto, en lugar de intentar acciones destructivas o persistentes. Cada acción realizada se registra para proporcionar un rastro de auditoría adecuado para evaluaciones de seguridad profesionales.

Advertencia

Este proyecto está destinado solo a sistemas que usted posee o para los que tiene permiso explícito por escrito para realizar pruebas. El uso no autorizado puede violar leyes aplicables y políticas organizativas.

Características

• Verificación de autorización antes de las pruebas
• Soporte de confirmación interactiva o token de autorización
• Múltiples demostraciones seguras de vulnerabilidades
• Registro de auditoría automático
• Registros de pruebas de penetración basados en JSON
• Generación de informes profesionales de pruebas de penetración
• Pruebas con límite de velocidad (rate limiting)
• Marco modular de demostraciones

Técnicas de demostración

La herramienta admite actualmente las siguientes demostraciones seguras:

Estas demostraciones tienen como objetivo validar si la vulnerabilidad existe sin modificar datos intencionalmente.

Requisitos

• Python 3.8+
• requests

Instalar dependencias:

pip install requests

o

pip install -r requirements.txt

Ejemplo de requirements.txt

requests>=2.31.0

Uso

Autorización interactiva

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

La herramienta solicitará confirmación de autorización antes de continuar.

Token de autorización

python3 CVE-2026-59827.py \
    -t https://metabase.example.com \
    --auth-token YOUR-AUTHORIZATION-TOKEN

Ejecutar una demostración

python3 metabase_tester.py \
    -t https://metabase.example.com \
    --demo version_disclosure

Demostraciones disponibles:

version_disclosure
database_type
user_enumeration
schema_disclosure
sql_execution

Ejecutar todas las demostraciones

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

Opciones de línea de comandos

Ejemplo

python3 CVE-2026-59827.py \
    -t https://metabase.internal \
    --auth-token COMPANY-12345 \
    --demo database_type

Registro

Cada acción realizada se registra con fines de auditoría.

Cada ejecución genera un archivo de registro similar a:

pentest_log_3a7f21bc.json

Cada entrada de registro contiene:

• Marca de tiempo
• ID de prueba
• Acción ejecutada
• Parámetros utilizados
• Detalles adicionales

Ejemplo:

{
  "timestamp": "2026-07-23T11:42:58",
  "action": "Testing payload",
  "details": {
    "parameter": "query",
    "payload": "' UNION SELECT version()--"
  },
  "test_id": "3a7f21bc"
}

Generación de informes

Después de completar las pruebas, la herramienta genera un resumen que contiene:

• URL del objetivo
• ID de prueba
• Fecha y hora
• Número de acciones registradas
• Demostraciones ejecutadas
• Ubicación del registro de auditoría

Estructura del proyecto

.
├── metabase_tester.py
├── README.md
├── requirements.txt
└── pentest_log_<testid>.json

Limitaciones

• Diseñada únicamente para evaluaciones de seguridad autorizadas.
• No intenta escalar privilegios.
• No modifica el contenido de la base de datos.
• Las demostraciones están limitadas intencionalmente para reducir el impacto operativo.
• Pensada como una herramienta de validación y no como un marco de explotación completo.

Divulgación responsable

Si las pruebas confirman la presencia de la vulnerabilidad:

1. Notificar al propietario del sistema de inmediato.
2. Documentar los hallazgos.
3. Proporcionar orientación sobre remediación.
4. Evitar pruebas innecesarias o repetidas después de la confirmación.
5. Seguir la política de divulgación responsable de su organización.

Descargo de responsabilidad legal

Este software se proporciona únicamente para pruebas de seguridad autorizadas, investigación de seguridad y fines educativos.

Los autores no asumen ninguna responsabilidad por el mal uso o los daños derivados del uso de este software.

Al utilizar este proyecto, usted reconoce que:

• Usted es propietario del sistema objetivo o
• Usted tiene autorización explícita por escrito para realizar pruebas de seguridad.
• Usted acepta plena responsabilidad por sus acciones.
• Usted cumplirá con todas las leyes, regulaciones y políticas organizativas aplicables.

El uso no autorizado de este software está estrictamente prohibido.

Licencia

Este proyecto está destinado a fines educativos y de pruebas de penetración profesionales. Asegúrese de cumplir con las políticas de su organización y las leyes aplicables antes de usarlo.