Officially

From the publisher, in order, with its history intact.

CERT-FR cert.ssi.gouv.fr

Vulnérabilité dans Metabase (10 septembre 2026)

Imported from official source

Announcement

Cybersecurity Classified by Officially

Une gestion de version détaillée se trouve à la fin de ce document.

  • metabase versions x.59.x antérieures à x.59.25
  • metabase versions x.60.x antérieures à x.60.21
  • metabase versions x.61.x antérieures à x.61.15
  • metabase versions x.62.x antérieures à x.62.13

    • Le 06 août 2026, Metabase a publié un avis de sécurité concernant une vulnérabilité critique permettant à un attaquant non authentifié de provoquer une injection SQL (SQLi) dans la base de donnée de l'application Metabase. Cette injection SQL permet d’obtenir les droits administrateur de l'instance.

    Le CERT-FR a connaissance de nombreuses compromissions de Metabase vulnérables.

    Les tentatives d'exploitations sont observables dans les journaux applicatifs et les journaux Metabase. Elles sont caractérisées par la succession de ces deux requêtes :

  • POST /api/session/reset_password avec un code retour HTTP 400 ;
  • GET /api/user/current avec un code retour HTTP 200.

    • En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les fiches réflexes de compromission système [1][2].

    Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

    Si cela n'est pas possible, Metabase recommande de bloquer l'accès public au chemin /api/session/reset_password.

    Si le chemin d'accès /api/session/reset_password est public, l'éditeur préconise de :

  • révoquer toutes les sessions utilisateur actives en accédant à la base de données de l’application Metabase et en supprimant toutes les lignes de la table core_session ;
  • inspecter vos clés API et supprimer toutes les clés non reconnues ;
  • inspecter les comptes administrateur afin de détecter toute modification inattendue ;
  • renouveler les identifiants d’accès pour toutes les bases de données connectées ;
  • inspecter les journaux pour détecter tout signe d'accès non autorisé ;
  • inspecter l'historique des activités et des requêtes de Metabase pour détecter toute activité inattendue ou non autorisée.

    • This is an extract. The publication continues at the source.

    Source: CERT-FR — Licence Ouverte 2.0. Licence

    Read the original at the source: https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-010/

    Officially imported this from CERT-FR’s own source and shows an extract. If you work there, claiming the profile and verifying the domain lets you choose to show the full text here.

    Provenance

    Organization
    CERT-FR — imported from official source
    Official source
    https://www.cert.ssi.gouv.fr/feed/ RSS
    Imported
    October 13, 2026 11:34
    Versions
    1 recorded
    Identity
    https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-010/

    Officially records where a publication came from, not whether it is true. Imported records are reproduced from an organization's own official source.