vulnmachines/metabase_cve-2021-41277Exploit pour Metabase CVE-2021-41277, une vulnérabilité d'inclusion de fichier local dans la prise en charge des cartes GeoJSON personnalisées, permettant un accès non autorisé aux fichiers.
Metabase est une plateforme d'analyse de données open source. Dans les versions concernées, un problème de sécurité a été découvert avec le support des cartes GeoJSON personnalisées (admin->settings->maps->custom maps->add a map) et une potentielle inclusion de fichiers locaux (y compris les variables d'environnement). Les URL n'étaient pas validées avant d'être chargées. Ce problème est corrigé dans une nouvelle version de maintenance (0.40.5 et 1.40.5), ainsi que dans toutes les versions ultérieures. Si vous ne pouvez pas effectuer une mise à niveau immédiatement, vous pouvez atténuer ce problème en incluant des règles dans votre proxy inverse, votre équilibreur de charge ou votre WAF pour fournir un filtre de validation avant l'application.
