CVE-2026-33725

Résumé

Metabase est un outil open source de business intelligence et d'analytics embarqué. Dans Metabase Enterprise antérieur aux versions 1.54.22, 1.55.22, 1.56.22, 1.57.16, 1.58.10 et 1.59.4, les administrateurs authentifiés sur Metabase Enterprise Edition peuvent parvenir à une exécution de code à distance (RCE) et à une lecture arbitraire de fichiers via le point de terminaison `POST /api/ee/serialization/import`. Une archive de sérialisation conçue à cet effet injecte une propriété `INIT` dans la spécification JDBC H2, ce qui peut exécuter du SQL arbitraire lors d'une synchronisation de base de données. Nous avons confirmé que cela était possible sur Metabase Cloud. Cela n'affecte que Metabase Enterprise. Metabase OSS ne dispose pas des chemins de code concernés. Toutes les versions de Metabase Enterprise disposant de la sérialisation, qui remonte au moins à la version 1.47, sont concernées. Les versions 1.54.22, 1.55.22, 1.56.22, 1.57.16, 1.58.10 et 1.59.4 de Metabase Enterprise corrigent le problème. Comme mesure de contournement, désactivez le point de terminaison d'import de sérialisation dans votre instance Metabase afin d'empêcher l'accès aux chemins de code vulnérables.

• CVE-2026-33725Exploit

  Preuve de concept d'exploitation pour CVE-2026-33725, permettant l'exécution de code à distance et la lecture arbitraire de fichiers via l'injection H2 JDBC INIT dans l'import de sérialisation Metabase Enterprise.