Um resumo rápido sobre uma vulnerabilidade confirmada como explorada na natureza (listada no CISA KEV). O que ela faz, quem é afetado e como responder, de forma defensiva e sem passos de exploração.
- CVE
- CVE-2026-72898
- Gravidade
- Crítica — CVSS 10,0 (tanto v3.1 quanto v4.0)
- Classe
- Injeção de SQL não autenticada (CWE-89)
- Impacto
- Acesso de administrador à instância do Metabase, alcançando credenciais e dados de bancos de dados conectados
- Afetados
- Metabase self-hosted na linha x.58 e posteriores, abaixo das versões corrigidas
- Exploração
- No CISA KEV (incluída em 11 de agosto de 2026, prazo em 14 de agosto); o fornecedor afirma que foi explorada como 0-day
- Correção principal
- Atualização, somada à revogação de sessões e à rotação de todas as credenciais de bancos de dados conectados
Por que deixar como está não é uma opção
Não é necessária nenhuma autenticação e o ganho é acesso de administrador, o que torna isso um alvo prioritário para varreduras indiscriminadas — daí a inclusão no KEV um dia após a publicação. O fornecedor afirma que ela foi explorada ativamente contra o próprio ambiente em nuvem antes da correção, então "ninguém veio atrás de nós ainda" não é uma suposição que você pode fazer.
O que é a falha
O Metabase é uma plataforma de BI e análise que se conecta aos seus bancos de dados e entrega dashboards e consultas sobre eles. O defeito é que o endpoint que trata a redefinição de senha monta SQL a partir de um valor fornecido por quem faz a chamada. Esse processamento acontece antes da autenticação, então o atacante nunca precisa de uma conta (injeção de SQL, CWE-89).
A injeção atinge o próprio banco de dados da aplicação do Metabase — aquele que guarda usuários, sessões, chaves de API e configurações de conexão, ou seja, o controle da instância. A entrada do CISA no KEV afirma que, após obter acesso de administrador, um atacante pode alterar a configuração da aplicação, roubar as credenciais armazenadas dos bancos de dados conectados, ler qualquer coisa acessível por essas conexões e exportá-la.
Atacante não autenticado
↓ SQL injetado pelo endpoint de redefinição de senha
Banco de dados da aplicação do Metabase → administrador
↓ configurações de conexão e credenciais armazenadas
Cada banco de dados conectado
receita, clientes, logs — tudo que a ferramenta de BI consegue ler
Quem é afetado
| Item | Detalhe |
|---|---|
| Afetados | Metabase self-hosted; o fornecedor afirma que o Metabase Cloud já está corrigido |
| Versões vulneráveis | A linha x.58 e posteriores, abaixo das versões corrigidas |
| Versões corrigidas | 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5 (Enterprise: 1.58.24 / 1.59.21 / 1.60.17 / 1.61.11 / 1.62.9 / 1.63.5) |
| Pré-condição | Nenhuma — não autenticada |
| Impacto | Acesso de administrador → credenciais e dados de bancos de dados conectados |
| Solução alternativa provisória | Bloquear o endpoint /api/session/reset_password (temporário até você atualizar) |
O que fazer
Atualize para a versão corrigida (primeira prioridade, a única correção real)
Se ainda não puder atualizar, bloqueie o endpoint
/api/session/reset_password no seu reverse proxy ou WAF. Trate-a estritamente como medida temporária.Revogue todas as sessões e depois audite chaves de API e administradores
core_session do banco de dados da aplicação para encerrar todas as sessões, remova chaves de API que você não reconhece, e verifique se há alterações nas contas de administrador que você não consegue explicar. Se alguém teve acesso de administrador, atualizar sozinho deixa no lugar as contas e chaves que essa pessoa criou.Rotacione as credenciais de todos os bancos de dados conectados (não pule esta etapa)
Reduza a própria acessibilidade
Uma pista de detecção publicada pelo fornecedor
O fornecedor descreve o padrão de exploração como uma chamada a /api/session/reset_password que retorna 400, seguida imediatamente por /api/user/current retornando 200. Se você ainda tem logs de acesso, vale procurar essa sequência. Se não tiver logs, a resposta é "desconhecido", não "limpo". Nesse caso, presuma comprometimento e execute o passo 4.
Visão deste site: uma ferramenta de BI guarda todas as credenciais conectadas, então proteja-a como o seu banco de dados mais sensível
As organizações tendem a classificar ferramentas de BI e análise como "coisas que exibem dados" e as operam com um nível de cuidado inferior ao dos próprios bancos de dados. A realidade é o oposto: a ferramenta é um ponto único que guarda as credenciais de tudo a que se conecta. Nossa posição é que ela deve ser protegida no nível do banco de dados mais sensível por trás dela. Isso significa: dar ao BI um usuário de conexão com privilégio mínimo (somente leitura, apenas os schemas de que precisa), nunca expô-la diretamente à internet e ter um runbook de rotação de credenciais pronto antes de precisar dele. Feito isso, mesmo um pior cenário, como uma falha em código anterior à autenticação, custará uma conexão em vez de todos os bancos de dados.
Fontes
- NVD — CVE-2026-72898 (CWE-89; CVSS 10,0 tanto na v3.1 quanto na v4.0)
- CISA KEV — Catálogo de Vulnerabilidades Conhecidas Exploradas (incluída em 11 de agosto de 2026, prazo em 14 de agosto de 2026)
- Fornecedor — GHSA-vwf4-m7j8-wcjf e atualização de segurança do Metabase