Краткая сводка по уязвимости, которая, как подтверждено, эксплуатируется в реальных атаках (включена в каталог CISA KEV). Что она делает, кого касается и как реагировать — в оборонительных целях, без шагов по эксплуатации.
- CVE
- CVE-2026-72898
- Серьёзность
- Критическая — CVSS 10.0 (и v3.1, и v4.0)
- Класс
- SQL-инъекция без аутентификации (CWE-89)
- Последствия
- Административный доступ к экземпляру Metabase, включая доступ к учётным данным и данным подключённых баз
- Затронуто
- Самостоятельно развёрнутый Metabase из линейки x.58 и новее, ниже исправленных версий
- Эксплуатация
- В CISA KEV (добавлена 11 авг. 2026, срок — 14 авг.); поставщик заявляет, что уязвимость эксплуатировалась как 0-day
- Основное исправление
- Обновление, плюс отзыв сессий и ротация учётных данных каждой подключённой базы
Почему откладывать нельзя
Аутентификация не требуется, а итог — административный доступ, что делает уязвимость привлекательной целью для массового сканирования; отсюда и включение в KEV на следующий день после публикации. Поставщик заявляет, что её активно эксплуатировали против его собственного облачного окружения до выпуска исправления, поэтому предположение «до нас ещё никто не добрался» не годится.
В чём суть дефекта
Metabase — это BI- и аналитическая платформа, которая подключается к вашим базам данных и строит на их основе дашборды и запросы. Дефект заключается в том, что эндпоинт, обрабатывающий сброс пароля, формирует SQL из значения, переданного вызывающей стороной. Эта обработка происходит до аутентификации, поэтому злоумышленнику никогда не нужна учётная запись (SQL-инъекция, CWE-89).
Инъекция попадает в собственную базу данных приложения Metabase — ту, где хранятся пользователи, сессии, API-ключи и настройки подключений, то есть управление экземпляром. Запись CISA в KEV указывает, что после получения прав администратора злоумышленник может изменить конфигурацию приложения, похитить сохранённые учётные данные подключённых баз данных, прочитать всё, что доступно через эти подключения, и экспортировать это.
Неаутентифицированный злоумышленник
↓ SQL внедряется через эндпоинт сброса пароля
БД приложения Metabase → администратор
↓ сохранённые настройки подключений и учётные данные
Каждая подключённая база данных
выручка, клиенты, журналы — всё, что BI может читать
Кого это касается
| Пункт | Подробности |
|---|---|
| Затронуто | Самостоятельно размещённый Metabase; поставщик заявляет, что Metabase Cloud уже исправлен |
| Уязвимые версии | Линейка x.58 и новее, ниже исправленных версий |
| Исправленные версии | 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5 (Enterprise: 1.58.24 / 1.59.21 / 1.60.17 / 1.61.11 / 1.62.9 / 1.63.5) |
| Предварительное условие | Нет — аутентификация не требуется |
| Последствия | Административный доступ → учётные данные и данные подключённых баз |
| Временное обходное решение | Блокировать эндпоинт /api/session/reset_password (временно, до обновления) |
Что делать
Установите исправленную версию (первый приоритет, единственное реальное исправление)
Если обновиться пока нельзя, заблокируйте эндпоинт
/api/session/reset_password на обратном прокси или WAF. Относитесь к этому строго как к временной мере.Отзовите все сессии, затем проверьте API-ключи и администраторов
core_session базы данных приложения, чтобы завершить все сессии, удалить API-ключи, которые вы не узнаёте, и проверить административные учётные записи на изменения, которые вы не можете объяснить. Если кто-то получил права администратора, одно обновление оставит на месте учётные записи и ключи, которые он создал.Проведите ротацию учётных данных каждой подключённой базы данных (не пропускайте этот шаг)
Сократите саму доступность
Подсказка для обнаружения, которую опубликовал поставщик
Поставщик описывает шаблон эксплуатации как вызов /api/session/reset_password с ответом 400, за которым сразу следует /api/user/current с ответом 200. Если у вас сохранились журналы доступа, стоит поискать эту последовательность. Если журналов нет, ответ — «неизвестно», а не «чисто». В таком случае считайте, что произошла компрометация, и выполните шаг 4.
Позиция этого сайта: BI-инструмент хранит все подключённые учётные данные, поэтому защищайте его как самую чувствительную базу данных
Организации склонны относить BI- и аналитические инструменты к категории «отображают данные» и защищают их на более низком уровне, чем сами базы данных. На деле всё наоборот: инструмент — это единое место, где хранятся учётные данные ко всему, к чему он подключается. Наша позиция: защищать его нужно на уровне самой чувствительной базы данных, к которой он имеет доступ. Это значит: давать BI пользователя подключения с минимальными правами (только чтение, только нужные схемы), никогда не открывать его напрямую в интернет и заранее подготовить регламент ротации учётных данных. Если это сделать, даже худший сценарий, например дефект в коде до аутентификации, будет стоить одного подключения, а не всех баз данных.
Источники
- NVD — CVE-2026-72898 (CWE-89; CVSS 10.0 в v3.1 и v4.0)
- CISA KEV — каталог известных эксплуатируемых уязвимостей (добавлена 11 августа 2026, срок — 14 августа 2026)
- Поставщик — GHSA-vwf4-m7j8-wcjf и обновление безопасности Metabase