ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-72899

metabase metabase

Metabase SQL injection via public card or dashboard

CVSS 4.0
10.0بحرانی

شرح رسمی (انگلیسی)

Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.

امتیازهای CVSS

امتیازنسخهمنبعبردار
10.0بحرانی 4.0 CVEProject cvelistV5 (CNA) (cisa-cg) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
10.0بحرانی 3.1 CVEProject cvelistV5 (CNA) (cisa-cg) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
metabase metabase x.58.0 ≤ v < x.58.24 CVEProject cvelistV5 (CNA)
metabase metabase x.59.0 ≤ v < x.59.21 CVEProject cvelistV5 (CNA)
metabase metabase x.60.0 ≤ v < x.60.17 CVEProject cvelistV5 (CNA)
metabase metabase x.61.0 ≤ v < x.61.11 CVEProject cvelistV5 (CNA)
metabase metabase x.62.0 ≤ v < x.62.9 CVEProject cvelistV5 (CNA)
metabase metabase x.63.0 ≤ v < x.63.5 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۳
کانال تلگرام کُلون @kolunsec_fa تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۵/۱۹
آخرین به‌روزرسانی
۱۴۰۵/۰۵/۲۰
وضعیت
منتشرشده
صادرکننده (CNA)
cisa-cg

پیش‌بینی بهره‌برداری (EPSS)

۰٫۷۸٪
احتمال بهره‌برداری در ۳۰ روز
۵۶٫۳٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
ندارد
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-89
    Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')