franc-zar/cve-2026-72898-safe-detectionScript simple pour réaliser une détection active sûre et non perturbatrice de la CVE-2026-72898 (SQLi dans Metabase)
Script simple pour réaliser une détection active sûre et non destructive de CVE-2026-72898 (SQLi dans Metabase)
Il tente de déterminer si une instance Metabase est vulnérable à la vulnérabilité d'injection SQL dans le point de terminaison de réinitialisation de mot de passe. Le script est conçu pour être sûr et ne causer aucun dommage au système cible. Il ne tente pas d'exploiter la vulnérabilité en modifiant des données ni en effectuant des actions destructrices. Le script envoie une série de charges utiles de type sleep ou delay à l'instance Metabase cible afin de déterminer si l'injection SQL est possible et mesure les temps de réponse en conséquence. Il prend en charge plusieurs types de bases de données et peut effectuer un scan par force brute pour tester tous les types de bases de données pris en charge si l'utilisateur n'est pas sûr du type de base de données de la cible.
Utilisation :
cve_2026_72898_scanner.py - Un script pour scanner en toute sécurité la CVE-2026-72898.
options:
-h, --help affiche ce message d'aide et quitte
--host HOST Hôte Metabase cible
--port PORT Port Metabase cible
--schema {http,https}
Schéma Metabase cible
--db-type {mysql,postgres,mariadb}
Type de base de données SQL de l'application Metabase cible
--brute Active le mode force brute (essayer tous les types de bases de données) - à éviter autant que possible, car cela peut déclencher une limitation de débit sur le système cible après environ 10 requêtes, avec un backoff exponentiel ultérieur lors des nouvelles tentatives
Cet outil est strictement destiné à des fins éducatives et à des tests de sécurité autorisés. Ne l'utilisez pas contre des systèmes sans autorisation écrite explicite de leur propriétaire.
L'auteur décline toute responsabilité et n'est pas responsable de tout usage abusif, dommage, perte de données ou conséquence juridique causés par ce programme. Utilisez-le entièrement à vos propres risques.