Уязвимость прикладного программного интерфейса сброса пароля программного средства визуализации данных и создания отчетов Metabase, позволяющая выполнить произвольный SQL-запрос

Описание

Уязвимость прикладного программного интерфейса сброса пароля программного средства визуализации данных и создания отчетов Metabase связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный SQL-запрос путем отправки специально сформированного HTTP-запроса

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - ограничение возможности получения неавторизованными пользователями доступа к конечным точкам /api/session/reset_password и /api/user/current - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - сегментирование сети для ограничения доступа к уязвимому устройству; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет). Использование рекомендаций: https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf

Сведения записи

Уязвимое программное обеспечение

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.