Fiche CVE · CVE-2026-72898
CVE-2026-72898 : Injection SQL dans Metabase
Metabase contient une vulnérabilité d'injection SQL qui permet à un attaquant distant non authentifié d'injecter du SQL arbitraire dans la base de données de l'application Metabase, ce qui peut lui donner un accès administrateur à l'instance. Depuis cette position, l'attaquant pourrait modifier la configuration de l'application, voler les identifiants stockés pour les bases de données connectées, lire toutes les données accessibles via ces connexions et exporter des données.
- Exploitation active confirmée : ajoutée au catalogue KEV de la CISA le 11 août 2026.
- Utilisation par des rançongiciels : non établie à ce jour.
- Échéance de correction fixée aux administrations fédérales américaines : 14 août 2026.
Description de la CISA, traduite par IA.
Que faire
- Vérifiez si votre parc contient Metabase, y compris les équipements exposés sur Internet.
- Appliquez le correctif ou les mesures de l’éditeur (références ci-dessous). À défaut, isolez le produit ou cessez de l’utiliser, comme la CISA le demande aux administrations américaines.
- Une faille exploitée a souvent servi avant d’être corrigée : recherchez des traces de compromission, en particulier sur les équipements exposés.