Analytical use of cookies
Критична вразливість у Metabase дозволяє виконувати довільний код
Вразливість у Metabase дозволяє виконувати довільний код через H2-запити. Оновіть до безпечних версій для захисту бізнес-аналітики.
- CVSS
- 9.9 CRITICAL
- EPSS
- 89.83%
- Активно використовується
- немає в KEV
- Продукт
- metabase
Що відомо
У Metabase виявлено критичну вразливість (CVE-2026-59827), що дозволяє автентифікованому користувачу з можливістю запуску нативних H2-запитів виконувати довільний код на сервері. Проблема стосується версій до 1.58.15, 1.59.12, 1.60.6.3 та 1.61.1.4 і пов’язана з некоректною десеріалізацією Java-об’єктів у результатах запитів.
Бізнес-вплив
Ця вразливість створює високий ризик компрометації серверів Metabase, особливо якщо використовується база даних H2, включно з типовою демонстраційною базою. Зловмисник може отримати контроль над сервером, що призведе до витоку даних, порушення цілісності та доступності бізнес-аналітики. Власникам інфраструктури слід терміново оцінити вплив та пріоритетність оновлення.
Рекомендовані дії адміністратора
Рекомендується негайно оновити Metabase до версій 1.58.15, 1.59.12, 1.60.6.3 або 1.61.1.4, які містять виправлення. Якщо оновлення наразі неможливе, слід обмежити доступ до запуску нативних H2-запитів лише довіреним користувачам, перевірити журнали на ознаки експлуатації та зменшити мережеву експозицію сервера. Для додаткової підтримки рекомендуємо звернутися до DataHouse для перевірки версій, управління патчами та аналізу логів.