CVE-2026-72898: Patch de SQLi no Endpoint de Configuração do Metabase

Este repositório contém o hotfix para CVE-2026-72898, uma vulnerabilidade de Injeção de SQL não autenticada no endpoint de configuração de instâncias Metabase auto-hospedadas.

Se não for corrigido, atacantes podem contornar a validação do token de configuração, executar comandos arbitrários no banco de dados e extrair credenciais do data warehouse.

A Causa Raiz

A função validate-setup-token anteriormente aceitava entrada de usuário não validada e a concatenava diretamente em uma string JDBC crua. Isso permitia que um atacante escapasse da string SQL e anexasse comandos maliciosos.

Arquitetura do Patch

Este patch muda fundamentalmente o mecanismo de validação para neutralizar vetores de injeção de SQL:

1. Integração com ORM: Migra consultas ao banco de dados de strings cruas para Toucan 2 (t2), o Mapeador Objeto-Relacional nativo do Metabase.
2. Isolamento de Entrada: O sistema não passa mais a entrada do usuário para o banco de dados para verificar o token. Em vez disso, ele consulta o banco de dados pelo token esperado usando parametrização estrita.
3. Validação em Memória: Usa crypto.equality/eq? para comparar os tokens na memória da aplicação (Clojure) em vez de no banco de dados.