【误差通告】Metabase 未授权 SQL 注入导致管理员权限获取误差

宣布时间 2026-08-10

一、误差概述


0810-1.png


Metabase是一款开源商业智能和数据剖析平台，主要用于毗连、盘问和可视化剖析企业数据。该平台支持通过数据源毗连受理、SQL盘问、报表剖析和数据仪表盘等功效，资助组织快速构建数据剖析和营业决议系统。

 

2026年8月10日，尊龙凯官网入口清静应急响应中心（VSRC）监测到Metabase 未授权 SQL 注入导致管理员权限获取误差。攻击者可通过未授权会见的接口向 Metabase 应用数据库注入恣意 SQL 语句，从而可能获取管理员会见权限。攻击者无需身份认证即可使用该误差攻击 Metabase 实例，进一步修改应用设置、获取已毗连数据库中存储的凭证、会见数据库可读取的数据以及导出相关数据。该误差可能导致应用管理权限被滥用、敏感数据泄露和营业系统清静危害。

 


二、影响规模



x.58.0 <= metabase < x.58.23

x.59.0 <= metabase < x.59.20

x.60.0 <= metabase < x.60.16

x.61.0 <= metabase < x.61.10

x.62.0 <= metabase < x.62.8

x.63.0 <= metabase < x.63.3

 

 

三、清静步伐



3.1 升级版本


官方已宣布修复补丁，以修复该误差

metabase >= x.58.24

metabase >= x.59.21

metabase >= x.60.17

metabase >= x.61.11

metabase >= x.62.9

metabase >= x.63.5

 

下载链接：

https://github.com/metabase/metabase/releases/

 

3.2 暂时步伐


暂无。

 

3.3 通用建议


按期更新系统补丁，镌汰系统误差，提升服务器的清静性。

增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。

使用企业级清静产品，提升企业的网络清静性能。

增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。

启用强密码战略并设置为按期修改。

 

3.4 参考链接


https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf/

https://github.com/dinosn/metabase-ghsa-vwf4-lab/