CVE-2026-72898-safe-detection

用于对 CVE-2026-72898（Metabase 中的 SQLi）进行安全且非破坏性主动检测的简单脚本

它尝试判断某个 Metabase 实例是否易受密码重置端点中的 SQL 注入漏洞影响。 该脚本设计为安全运行，不会对目标系统造成任何损害。 它不会通过更改任何数据或执行任何破坏性操作来尝试利用该漏洞。 该脚本向目标 Metabase 实例发送一系列 sleep 或延迟载荷，以判断 SQL 注入是否可行，并相应地测量响应时间。 它支持多种数据库类型，并且当用户不确定目标数据库类型时，可以执行暴力扫描来测试所有受支持的数据库类型。

用法：

cve_2026_72898_scanner.py - A script to safely scan for CVE-2026-72898.

options:
  -h, --help            show this help message and exit
  --host HOST           Target Metabase host
  --port PORT           Target Metabase port
  --schema {http,https}
                        Target Metabase schema
  --db-type {mysql,postgres,mariadb}
                        Target Metabase application SQL database type
  --brute               Enable brute force mode (try all database types) - avoid as possible, as it may trigger rate limiting on the target system after around 10 requests with later exponential backoff on retry

法律免责声明

本工具严格用于教育目的和经授权的安全测试。未经所有者明确书面许可，请勿将其用于任何系统。

作者不承担任何责任，也不对由本程序造成的任何滥用、损害、数据丢失或法律后果负责。使用风险完全由您自行承担。