🔴 CVE-2026-72898 - 未认证 SQL 注入

Metabase — 未认证 SQL 注入 → 完全管理员接管

📌 概述

CVE-2026-72898 是 Metabase 中的一个**最高严重级别（CVSS 10.0）**未认证 SQL 注入漏洞，允许远程攻击者通过密码重置端点向应用程序数据库注入任意 SQL。

成功利用后可获得对 Metabase 实例的完全管理员访问权限。此后，攻击者可以：

• 修改应用程序配置
• 窃取已连接数据库的存储凭据
• 读取通过这些连接可访问的任何数据
• 随意导出敏感数据

该漏洞已作为零日漏洞在野被利用，攻击目标包括 Metabase Cloud 和多个自托管客户。

⚡ 关键详情

🎯 受影响端点

POST /api/session/reset_password

未认证攻击者可向该端点发送精心构造的请求，从而对 Metabase 应用程序数据库执行任意 SQL。

📦 受影响版本

低于 58 的版本不受影响。

🛠️ 修复措施

1. 立即升级（推荐）

升级到与您的主版本对应的修复版本：

2. 临时缓解措施

如果无法立即升级，请阻止访问该易受攻击的端点：

/api/session/reset_password

🔍 检测与入侵指标

在应用程序或入口日志中查找以下特征攻击模式：

POST /api/session/reset_password   →  400
GET  /api/user/current             →  200

如果出现此序列，您的实例很可能已被入侵。

升级后操作（强烈推荐）

升级后，请执行以下操作：

1. 使所有会话失效

   root@kitploit:~

   TRUNCATE TABLE core_session;
   

2. 检查并删除任何无法识别的 API 密钥

3. 审计管理员账户是否存在意外更改

4. 轮换所有已连接数据库的凭据

5. 检查数据仓库日志是否存在未授权访问

6. 检查 Metabase 活动与查询历史是否存在异常

📚 官方参考

• Metabase 安全公告 (GHSA-vwf4-m7j8-wcjf)
• Metabase 官方博客文章
• CVE 记录
• CISA 已知被利用漏洞目录

⚠️ 免责声明

本文档仅供防御和参考目的提供。
请始终对照官方供应商公告核实信息。

立即升级。每一个未修补的实例仍然是高价值目标。