Outil de test d'intrusion autorisé pour Metabase CVE-2026-59827

Un utilitaire d'évaluation de sécurité autorisé permettant de valider la présence de CVE-2026-59827 dans les déploiements Metabase lors d'engagements de test d'intrusion approuvés.

Cet outil est conçu pour démontrer l'existence de la vulnérabilité tout en minimisant l'impact en effectuant des démonstrations contrôlées de preuve de concept plutôt que de tenter des actions destructrices ou persistantes. Chaque action effectuée est journalisée afin de fournir une piste d'audit adaptée aux évaluations de sécurité professionnelles.

Avertissement

Ce projet est destiné uniquement aux systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite de test. Toute utilisation non autorisée peut violer les lois applicables et les politiques organisationnelles.

Fonctionnalités

• Vérification de l'autorisation avant le test
• Prise en charge de la confirmation interactive ou du jeton d'autorisation
• Plusieurs démonstrations sûres de vulnérabilité
• Journalisation d'audit automatique
• Journaux de test d'intrusion au format JSON
• Génération de rapports professionnels de test d'intrusion
• Tests à débit limité
• Cadre de démonstration modulaire

Techniques de démonstration

L'outil prend actuellement en charge les démonstrations sûres suivantes :

Ces démonstrations visent à valider l'existence de la vulnérabilité sans modifier intentionnellement les données.

Prérequis

• Python 3.8+
• requests

Installer les dépendances :

pip install requests

ou

pip install -r requirements.txt

Exemple de requirements.txt

requests>=2.31.0

Utilisation

Autorisation interactive

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

L'outil demandera une confirmation d'autorisation avant de continuer.

Jeton d'autorisation

python3 CVE-2026-59827.py \
    -t https://metabase.example.com \
    --auth-token YOUR-AUTHORIZATION-TOKEN

Exécuter une démonstration

python3 metabase_tester.py \
    -t https://metabase.example.com \
    --demo version_disclosure

Démonstrations disponibles :

version_disclosure
database_type
user_enumeration
schema_disclosure
sql_execution

Exécuter toutes les démonstrations

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

Options de la ligne de commande

Exemple

python3 CVE-2026-59827.py \
    -t https://metabase.internal \
    --auth-token COMPANY-12345 \
    --demo database_type

Journalisation

Chaque action effectuée est enregistrée à des fins d'audit.

Chaque exécution génère un fichier journal similaire à :

pentest_log_3a7f21bc.json

Chaque entrée de journal contient :

• Horodatage
• Identifiant du test
• Action exécutée
• Paramètres utilisés
• Détails supplémentaires

Exemple :

{
  "timestamp": "2026-07-23T11:42:58",
  "action": "Testing payload",
  "details": {
    "parameter": "query",
    "payload": "' UNION SELECT version()--"
  },
  "test_id": "3a7f21bc"
}

Génération de rapport

Une fois les tests terminés, l'outil génère un résumé contenant :

• URL cible
• Identifiant du test
• Date et heure
• Nombre d'actions journalisées
• Démonstrations exécutées
• Emplacement du journal d'audit

Structure du projet

.
├── metabase_tester.py
├── README.md
├── requirements.txt
└── pentest_log_<testid>.json

Limites

• Conçu uniquement pour les évaluations de sécurité autorisées.
• Ne tente pas d'élévation de privilèges.
• Ne modifie pas le contenu de la base de données.
• Les démonstrations sont volontairement limitées afin de réduire l'impact opérationnel.
• Conçu comme un outil de validation plutôt que comme un cadre d'exploitation complet.

Divulgation responsable

Si les tests confirment la présence de la vulnérabilité :

1. Informez immédiatement le propriétaire du système.
2. Documentez les constatations.
3. Fournissez des recommandations de remédiation.
4. Évitez les tests inutiles ou répétés après confirmation.
5. Suivez la politique de divulgation responsable de votre organisation.

Avis de non-responsabilité légal

Ce logiciel est fourni uniquement à des fins de tests de sécurité autorisés, de recherche en sécurité et d'éducation.

Les auteurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages résultant de l'utilisation de ce logiciel.

En utilisant ce projet, vous reconnaissez que :

• Vous possédez le système cible ou
• Vous disposez d'une autorisation écrite explicite pour effectuer des tests de sécurité.
• Vous acceptez l'entière responsabilité de vos actions.
• Vous vous conformerez à toutes les lois, réglementations et politiques organisationnelles applicables.

Toute utilisation non autorisée de ce logiciel est strictement interdite.

Licence

Ce projet est destiné à des fins éducatives et de tests d'intrusion professionnels. Assurez-vous de respecter les politiques de votre organisation et les lois applicables avant toute utilisation.