CVE-2026-72898

El endpoint /reset_password de Metabase construye una consulta de base de datos a partir de una entrada de usuario sin sanitizar, abriendo una inyección SQL alcanzable de forma remota y sin autenticación. Al manipular la consulta inyectada, un atacante puede subvertir la lógica propia de la aplicación —falsificando o restableciendo el estado de autenticación— y otorgarse acceso de administrador a la instancia de Metabase, todo mediante solicitudes a un único endpoint no autenticado.

Metabase es un front-end de inteligencia de negocios conectado directamente a las bases de datos de una organización, por lo que el control administrativo de él es un puente hacia cada fuente de datos conectada: la capa de análisis se convierte en un pivote hacia el propio almacén de datos. Las instancias con frecuencia se exponen a internet para el acceso cómodo a los tableros, lo que amplía el objetivo. Actualice a una versión corregida de inmediato y, dado que el acceso de administrador expone los sistemas downstream, rote las credenciales que Metabase usa para alcanzar cada base de datos conectada, revise las cuentas de administrador en busca de adiciones desconocidas y examine los registros de consultas y de acceso en busca de señales de que el endpoint ya se abusó.