一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月14日、MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）について発表した。影響を受けるシステムは以下の通り。


Metabase 63系：x.63.5より前のバージョン
Metabase 62系：x.62.9より前のバージョン
Metabase 61系：x.61.11より前のバージョン
Metabase 60系：x.60.17より前のバージョン
Metabase 59系：x.59.21より前のバージョン
Metabase 58系：x.58.24より前のバージョン

　Metabaseは日本時間8月6日に、同社製品であるMetabaseにSQLインジェクションの脆弱性（CVE-2026-72898）が存在することを公表している。

　本脆弱性が悪用された場合、遠隔の第三者が認証なしで細工したリクエストを送信することで、Metabaseのアプリケーションデータベースに対して不正なSQLクエリを実行し、Metabaseの管理者権限を取得する可能性がある。

　Metabaseでは、本脆弱性を悪用したゼロデイ攻撃を確認しており、海外では複数の組織が本脆弱性を悪用した被害を公表している。また、本脆弱性を悪用する概念実証（PoC）コードとみられる情報も確認されており、今後も脆弱性を悪用する攻撃が広がる可能性がある。

　JPCERT/CCでは、Metabaseが提供する最新の情報を確認し、本脆弱性の修正を含む最新のバージョンを適用するよう呼びかけている。

元の記事を読む

編集部おすすめ