Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-72899 là lỗ hổng Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') ảnh hưởng tới Metabase (phiên bản bị ảnh hưởng: x.58.0 – < x.58.24, x.59.0 – < x.59.21 và các phiên bản bị ảnh hưởng khác). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 10. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Metabase cho phép kẻ tấn công không cần xác thực chèn SQL tùy ý thông qua card hoặc dashboard được chia sẻ công khai có tham số field-filter (dimension).
Metabase có trạng thái affected trên các nhánh sau:
>= x.58.0 và < x.58.24; bản sửa được xác định là x.58.24.>= x.59.0 và < x.59.21; bản sửa được xác định là x.59.21.>= x.60.0 và < x.60.17; bản sửa được xác định là x.60.17.>= x.61.0 và < x.61.11; bản sửa được xác định là x.61.11.>= x.62.0 và < x.62.9; bản sửa được xác định là x.62.9.>= x.63.0 và < x.63.5; bản sửa được xác định là x.63.5.Các nhánh hoặc trạng thái mặc định khác không được hồ sơ xác lập. Không nên coi một bản sửa của một nhánh là bằng chứng rằng các nhánh song song hoặc nhánh phát hành khác không bị ảnh hưởng.
Metabase xử lý không an toàn đầu vào gắn với tham số field-filter (dimension) trên card hoặc dashboard được chia sẻ công khai, cho phép chèn SQL tùy ý vào application database. Kẻ tấn công không cần xác thực và chỉ cần truy cập public link UUID của nội dung được chia sẻ; public sharing được bật mặc định nên việc công bố một liên kết là điều kiện cấu hình cần thiết duy nhất được advisory nêu. Chuỗi tấn công ở mức cao là gửi yêu cầu mạng tới card hoặc dashboard công khai, cung cấp giá trị field-filter được kiểm soát, rồi khiến Metabase thực thi SQL trong ngữ cảnh application database. Advisory không mô tả chi tiết chính xác cách câu lệnh được tạo hoặc cơ chế trung hòa đầu vào, vì vậy không nên suy luận thêm về hàm, endpoint hay payload cụ thể. Phạm vi bị ảnh hưởng là các nhánh Metabase được liệt kê trong affected_summary khi chúng có nội dung công khai chứa field-filter parameter.
Lỗ hổng có thể bị khai thác từ xa qua mạng mà không cần xác thực, không yêu cầu tương tác của người dùng và được đánh giá có độ phức tạp thấp. Điều kiện thực tế là instance có card hoặc dashboard được chia sẻ công khai và nội dung đó để lộ field-filter (dimension) parameter; advisory cho biết public sharing được bật mặc định. Đánh giá SSVC được cung cấp ghi nhận exploitation là none nhưng đánh dấu lỗ hổng có thể tự động hóa và có technical impact toàn phần; hồ sơ cũng đánh dấu public_exploit là false. Các trạng thái này không chứng minh rằng mọi instance đều chưa bị truy cập, vì vậy tổ chức đã công bố nội dung phù hợp vẫn nên thực hiện kiểm tra sau sự cố theo remediation.
Kẻ tấn công có thể thực thi SQL tùy ý thông qua Metabase application database mà không cần tài khoản hoặc tương tác của người dùng. Hậu quả kỹ thuật có thể gồm thay đổi cấu hình ứng dụng, truy xuất thông tin xác thực cơ sở dữ liệu đã lưu, đọc hoặc xuất dữ liệu mà các kết nối liên kết cho phép, và tác động đến tính toàn vẹn hoặc tính sẵn sàng của hệ thống dữ liệu. Advisory của vendor mô tả khả năng dẫn tới admin access, còn CISA nêu rằng trường hợp xấu nhất có thể đạt quyền quản trị. Hồ sơ không xác lập khả năng thực thi mã trên máy chủ, không nêu một nạn nhân cụ thể và không chứng minh rằng mọi instance bị ảnh hưởng đều đã bị xâm phạm.
Lỗ hổng đặt dữ liệu và cấu hình Metabase trước nguy cơ bị truy cập hoặc thay đổi bởi một tác nhân không có tài khoản. Nếu khai thác thành công, kẻ tấn công có thể đọc dữ liệu mà các kết nối cơ sở dữ liệu cho phép, xuất dữ liệu, lấy thông tin xác thực được lưu cho các cơ sở dữ liệu kết nối và thay đổi cấu hình ứng dụng. CISA cũng nêu khả năng xấu nhất là đạt quyền quản trị Metabase. Do đó, tổ chức có public card hoặc dashboard phù hợp có thể phải xử lý đồng thời rủi ro rò rỉ dữ liệu, sai lệch cấu hình, xâm phạm thông tin xác thực và ảnh hưởng đến các hệ thống dữ liệu liên kết.
x.58.24, x.59.21, x.60.17, x.61.11, x.62.9 hoặc x.63.5. Cần đối chiếu chính xác nhánh trước khi triển khai, vì bản sửa được nêu riêng cho từng nhánh.TRUNCATE TABLE core_session.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
