vulnmachines/metabase_cve-2021-41277Preuve de concept d'exploitation pour Metabase CVE-2021-41277, démontrant l'inclusion de fichier local via des URLs de cartes GeoJSON personnalisées non validées dans la plateforme d'analyse de données.
Metabase est une plateforme d'analyse de données open source. Dans les versions concernées, un problème de sécurité a été découvert avec le support des cartes GeoJSON personnalisées (admin->settings->maps->custom maps->add a map) et une potentielle inclusion de fichiers locaux (y compris les variables d'environnement). Les URL n'étaient pas validées avant d'être chargées. Ce problème est corrigé dans une nouvelle version de maintenance (0.40.5 et 1.40.5), ainsi que dans toutes les versions ultérieures. Si vous ne pouvez pas effectuer une mise à niveau immédiatement, vous pouvez atténuer ce problème en incluant des règles dans votre proxy inverse, votre équilibreur de charge ou votre WAF pour fournir un filtre de validation avant l'application.
