- Aktif istismar
- Yama var
- CWE-89
CVE-2026-72898
Metabase parola sıfırlama uç noktasında kimlik doğrulamasız SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 12 Ağu 2026
- Açık yaşı
- 79 gün
- Kaydı açan
- cisa-cg
Yönetici özeti
Veri analizi için kullanılan Metabase platformunda, giriş yapmadan yönetici yetkisi kazanılmasına izin veren çok kritik bir açık var ve saldırganlar bunu şu anda aktif olarak kullanıyor. Şirket verilerinin ele geçirilme veya değiştirilme riski yüksek olduğundan güncelleme acilen yapılmalıdır.
ÖzetTürkçe
Metabase'in '/reset_password' uç noktasında SQL enjeksiyonu açığı bulunuyor. Uzaktan ve kimlik doğrulaması olmadan istek gönderebilen bir saldırgan rastgele SQL çalıştırabiliyor. Açık, x.58, x.59, x.60, x.61, x.62 ve x.63 sürüm dallarının düzeltme öncesi sürümlerini etkiliyor ve CISA KEV listesinde aktif olarak istismar edilen bir açık olarak yer alıyor.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan Metabase örneğinde yönetici erişimi elde edebilir. Bu da bağlı veri kaynaklarındaki verilerin okunmasına, değiştirilmesine ve hizmetin kesintiye uğratılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Kullandığınız Metabase sürüm dalına karşılık gelen düzeltilmiş sürüme yükseltin: x.58.24, x.59.21, x.60.17, x.61.11, x.62.9 veya x.63.5 (ya da daha yenisi). Üretici
- Güncelleme yapılana kadar Metabase örneğinin internetten erişimini kısıtlayın; erişimi yalnızca VPN veya güvenilir IP aralıklarına açın. Genel öneri
- CISA gereği, üretici talimatlarına uygun önlemleri uygulayın, varlıklarınızın internet erişimini değerlendirin ve CISA'nın adli bilişim ön inceleme (forensics triage) gereklerine uyun. Önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncelleme sonrasında yönetici hesaplarını, yeni oluşturulmuş kullanıcıları ve sistem günlüklerini olası ihlal belirtileri açısından inceleyin. Genel öneri
Ek önlemler
- Metabase'in uygulama veritabanına ve bağlı veri kaynaklarına bağlandığı hesapların yetkilerini asgari düzeyde tutun. Genel öneri
- Metabase'i doğrudan internete açmak yerine ters vekil sunucu veya erişim kontrolü arkasında çalıştırın. Genel öneri
- '/reset_password' uç noktasına yönelik olağan dışı istekleri web sunucusu ve uygulama günlüklerinde izleyin. Genel öneri
- Metabase içindeki veri kaynağı bağlantı bilgilerini ve API anahtarlarını, ihlal şüphesi varsa yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Metabase | ≥ x.58.0, < x.58.24 | x.58.24 |
| x.58.24 Etkilenmiyor | – | |
| ≥ x.59.0, < x.59.21 | x.59.21 | |
| x.59.21 Etkilenmiyor | – | |
| ≥ x.60.0, < x.60.17 | x.60.17 | |
| x.60.17 Etkilenmiyor | – | |
| ≥ x.61.0, < x.61.11 | x.61.11 | |
| x.61.11 Etkilenmiyor | – | |
| ≥ x.62.0, < x.62.9 | x.62.9 | |
| x.62.9 Etkilenmiyor | – | |
| ≥ x.63.0, < x.63.5 | x.63.5 | |
| x.63.5 Etkilenmiyor | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…tabase/security/advisories/GHSA-vwf4-m7j8-wcjf Üretici bülteni
- metabase.com/blog/security-update Üretici bülteni
- raw.githubusercontent.com/…lop/csaf_files/IT/white/2026/va-26-222-01.json Üçüncü taraf
- cve.org/CVERecord Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.