CVE-2022-39362
Publiée le 2022-10-26 · Dernière modification le 2026-06-17
Les installations de Metabase utilisant les versions concernées sont sujettes à un problème où les requêtes SQL non enregistrées sont exécutées automatiquement. Un attaquant disposant d'identifiants d'utilisateur avec des privilèges limités peut utiliser cette faille pour exécuter des commandes arbitraires sur votre base de données, permettant potentiellement de voler, modifier ou supprimer vos données. Cette opération peut être effectuée à distance via le réseau, sans nécessiter d'interaction de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Metabase is data visualization software. Prior to versions 0.44.5, 1.44.5, 0.43.7, 1.43.7, 0.42.6, 1.42.6, 0.41.9, and 1.41.9, unsaved SQL queries are auto-executed, which could pose a possible attack vector. This issue is patched in versions 0.44.5, 1.44.5, 0.43.7, 1.43.7, 0.42.6, 1.42.6, 0.41.9, and 1.41.9. Metabase no longer automatically executes ad-hoc native queries. Now the native editor shows the query and gives the user the option to manually run the query if they want.