CVE-2026-72898-safe-detection

Простой скрипт для безопасного и недеструктивного активного обнаружения CVE-2026-72898 (SQLi в Metabase)

Он пытается определить, уязвим ли экземпляр Metabase к уязвимости SQL-инъекции в эндпоинте сброса пароля. Скрипт разработан так, чтобы быть безопасным и не причинять никакого вреда целевой системе. Он не пытается эксплуатировать уязвимость путём изменения каких-либо данных или выполнения деструктивных действий. Скрипт отправляет серию payload'ов с задержкой (sleep или delay) на целевой экземпляр Metabase, чтобы определить, возможна ли SQL-инъекция, и соответствующим образом измеряет время отклика. Он поддерживает несколько типов баз данных и может выполнять brute-force сканирование для проверки всех поддерживаемых типов баз данных, если пользователь не уверен в типе базы данных цели.

Использование:

cve_2026_72898_scanner.py - A script to safely scan for CVE-2026-72898.

options:
  -h, --help            show this help message and exit
  --host HOST           Target Metabase host
  --port PORT           Target Metabase port
  --schema {http,https}
                        Target Metabase schema
  --db-type {mysql,postgres,mariadb}
                        Target Metabase application SQL database type
  --brute               Enable brute force mode (try all database types) - avoid as possible, as it may trigger rate limiting on the target system after around 10 requests with later exponential backoff on retry

Правовая оговорка

Этот инструмент строго предназначен для образовательных целей и авторизованного тестирования безопасности. Не используйте его против систем без явного письменного разрешения владельца.

Автор не несёт никакой ответственности и не отвечает за любое неправомерное использование, ущерб, потерю данных или юридические последствия, вызванные этой программой. Используйте полностью на свой страх и риск.