【缝隙公告】Metabase 未授权 SQL 注入导致治理员权限获取缝隙

颁布功夫 2026-08-10

一、缝隙概述


0810-1.png


Metabase是一款开源贸易智能和数据分析平台，重要用于衔接、查问和可视化分析企业数据。该平台支持通过数据源连收受理、SQL查问、报表分析和数据仪表盘等职能，援手组织急剧构建数据分析和业务决策系统。

 

2026年8月10日，Z6人生就是博安全应急响应中心（VSRC）监测到Metabase 未授权 SQL 注入导致治理员权限获取缝隙。攻击者可通过未授权接见的接口向 Metabase 利用数据库注入肆意 SQL 语句，从而可能获取治理员接见权限。攻击者无需身份认证即可利用该缝隙攻击 Metabase 事俘，进一步批改利用配置、获取已衔接数据库中存储的痛处、接见数据库可读取的数据以及导出有关数据。该缝隙可能导致利用治理权限被滥用、敏感数据泄露和业务系统安全风险。

 


二、影响领域



x.58.0 <= metabase < x.58.23

x.59.0 <= metabase < x.59.20

x.60.0 <= metabase < x.60.16

x.61.0 <= metabase < x.61.10

x.62.0 <= metabase < x.62.8

x.63.0 <= metabase < x.63.3

 

 

三、安全措施



3.1 升级版本


官方已颁布建复补丁，以建复该缝隙

metabase >= x.58.24

metabase >= x.59.21

metabase >= x.60.17

metabase >= x.61.11

metabase >= x.62.9

metabase >= x.63.5

 

下载链接：

https://github.com/metabase/metabase/releases/

 

3.2 一时措施


暂无。

 

3.3 通用建议


定期更新系统补丁，削减系统缝隙，提升服务器的安全性。

加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。

使用企业级安全产品，提升企业的网络安全机能。

加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。

启用强密码战术并设置为定期批改。

 

3.4 参考链接


https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf/

https://github.com/dinosn/metabase-ghsa-vwf4-lab/