Strumento Autorizzato di Penetration Testing per Metabase CVE-2026-59827

Un'utilità autorizzata di valutazione della sicurezza per validare la presenza di CVE-2026-59827 nelle distribuzioni Metabase durante impegni approvati di penetration testing.

Questo strumento è progettato per dimostrare l'esistenza della vulnerabilità minimizzando l'impatto, eseguendo dimostrazioni controllate di proof-of-concept piuttosto che tentare azioni distruttive o persistenti. Ogni azione eseguita viene registrata per fornire una traccia di audit adatta a valutazioni di sicurezza professionali.

Avviso

Questo progetto è destinato solo a sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione scritta al test. L'uso non autorizzato può violare leggi applicabili e politiche organizzative.

Funzionalità

• Verifica dell'autorizzazione prima del test
• Supporto per conferma interattiva o token di autorizzazione
• Molteplici dimostrazioni sicure della vulnerabilità
• Registrazione automatica dell'audit
• Log di penetration testing basati su JSON
• Generazione di report professionali di penetration testing
• Test con limitazione della velocità (rate limiting)
• Framework modulare di dimostrazione

Tecniche di Dimostrazione

Lo strumento attualmente supporta le seguenti dimostrazioni sicure:

Queste dimostrazioni hanno lo scopo di validare se la vulnerabilità esiste senza modificare intenzionalmente i dati.

Requisiti

• Python 3.8+
• requests

Installa le dipendenze:

pip install requests

oppure

pip install -r requirements.txt

Esempio di requirements.txt

requests>=2.31.0

Utilizzo

Autorizzazione Interattiva

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

Lo strumento richiederà la conferma dell'autorizzazione prima di continuare.

Token di Autorizzazione

python3 CVE-2026-59827.py \
    -t https://metabase.example.com \
    --auth-token YOUR-AUTHORIZATION-TOKEN

Esegui una Singola Dimostrazione

python3 metabase_tester.py \
    -t https://metabase.example.com \
    --demo version_disclosure

Dimostrazioni disponibili:

version_disclosure
database_type
user_enumeration
schema_disclosure
sql_execution

Esegui Tutte le Dimostrazioni

python3 CVE-2026-59827.py \
    -t https://metabase.example.com

Opzioni della Riga di Comando

Esempio

python3 CVE-2026-59827.py \
    -t https://metabase.internal \
    --auth-token COMPANY-12345 \
    --demo database_type

Registrazione (Logging)

Ogni azione eseguita viene registrata per scopi di audit.

Ogni esecuzione genera un file di log simile a:

pentest_log_3a7f21bc.json

Ogni voce di log contiene:

• Timestamp
• Test ID
• Azione eseguita
• Parametri utilizzati
• Dettagli aggiuntivi

Esempio:

{
  "timestamp": "2026-07-23T11:42:58",
  "action": "Testing payload",
  "details": {
    "parameter": "query",
    "payload": "' UNION SELECT version()--"
  },
  "test_id": "3a7f21bc"
}

Generazione del Report

Al termine del test, lo strumento genera un riepilogo contenente:

• URL target
• Test ID
• Data e ora
• Numero di azioni registrate
• Dimostrazioni eseguite
• Posizione del log di audit

Struttura del Progetto

.
├── metabase_tester.py
├── README.md
├── requirements.txt
└── pentest_log_<testid>.json

Limitazioni

• Progettato solo per valutazioni di sicurezza autorizzate.
• Non tenta l'escalation dei privilegi.
• Non modifica il contenuto del database.
• Le dimostrazioni sono volutamente limitate per ridurre l'impatto operativo.
• Pensato come strumento di validazione piuttosto che come framework di sfruttamento completo.

Divulgazione Responsabile

Se il test conferma la presenza della vulnerabilità:

1. Avvisare immediatamente il proprietario del sistema.
2. Documentare i risultati.
3. Fornire indicazioni per la mitigazione.
4. Evitare test non necessari o ripetuti dopo la conferma.
5. Seguire la politica di divulgazione responsabile della propria organizzazione.

Dichiarazione di Non Responsabilità Legale

Questo software è fornito esclusivamente per test di sicurezza autorizzati, ricerca sulla sicurezza e scopi educativi.

Gli autori non si assumono alcuna responsabilità per usi impropri o danni derivanti dall'utilizzo di questo software.

Utilizzando questo progetto, dichiari che:

• Sei proprietario del sistema target oppure
• Hai esplicita autorizzazione scritta per eseguire test di sicurezza.
• Accetti la piena responsabilità per le tue azioni.
• Rispetterai tutte le leggi, i regolamenti e le politiche organizzative applicabili.

L'uso non autorizzato di questo software è severamente vietato.

Licenza

Questo progetto è destinato a scopi educativi e di penetration testing professionale. Assicurati di rispettare le politiche della tua organizzazione e le leggi applicabili prima dell'uso.