CVE-2026-72898

O endpoint /reset_password do Metabase constrói uma consulta ao banco de dados a partir de entrada de usuário não sanitizada, abrindo uma injeção de SQL alcançável remotamente e sem autenticação. Ao manipular a consulta injetada, um atacante pode subverter a própria lógica da aplicação — forjando ou redefinindo o estado de autenticação — e conceder a si mesmo acesso de administrador à instância do Metabase, tudo por meio de requisições a um único endpoint não autenticado.

O Metabase é um front-end de business intelligence conectado diretamente aos bancos de dados de uma organização, então o controle administrativo sobre ele é uma ponte para todas as fontes de dados conectadas: a camada de análise se torna um pivô para dentro do próprio data warehouse. As instâncias são frequentemente expostas à internet para acesso conveniente aos dashboards, ampliando o alvo. Atualize para uma versão corrigida imediatamente e, como o acesso de administrador expõe sistemas downstream, rotacione as credenciais que o Metabase usa para alcançar cada banco de dados conectado, revise as contas de administrador em busca de adições desconhecidas e verifique os logs de consulta e de acesso em busca de sinais de que o endpoint já foi abusado.