franc-zar/cve-2026-72898-safe-detectionScript simples para obter detecção ativa segura e não disruptiva de CVE-2026-72898 (SQLi no Metabase)
Script simples para realizar detecção ativa segura e não destrutiva da CVE-2026-72898 (SQLi no Metabase)
Ele tenta determinar se uma instância do Metabase é vulnerável à vulnerabilidade de injeção SQL no endpoint de redefinição de senha. O script foi projetado para ser seguro e não causar nenhum dano ao sistema alvo. Ele não tenta explorar a vulnerabilidade alterando quaisquer dados ou executando quaisquer ações destrutivas. O script envia uma série de payloads de sleep ou delay para a instância do Metabase alvo para determinar se a injeção SQL é possível e mede os tempos de resposta de acordo. Ele suporta múltiplos tipos de banco de dados e pode realizar uma varredura de força bruta para testar todos os tipos de banco de dados suportados caso o usuário não tenha certeza do tipo de banco de dados do alvo.
Uso:
cve_2026_72898_scanner.py - A script to safely scan for CVE-2026-72898.
options:
-h, --help show this help message and exit
--host HOST Target Metabase host
--port PORT Target Metabase port
--schema {http,https}
Target Metabase schema
--db-type {mysql,postgres,mariadb}
Target Metabase application SQL database type
--brute Enable brute force mode (try all database types) - avoid as possible, as it may trigger rate limiting on the target system after around 10 requests with later exponential backoff on retry
Esta ferramenta destina-se estritamente a fins educacionais e testes de segurança autorizados. Não a utilize contra sistemas sem permissão escrita explícita do proprietário.
O autor não assume qualquer responsabilidade e não é responsável por qualquer uso indevido, dano, perda de dados ou consequências legais causadas por este programa. Utilize inteiramente por sua conta e risco.