Une faille d’injection SQL permet à un attaquant non authentifié d’obtenir les droits administrateur d’une instance Metabase. Le CERT-FR observe de nombreuses compromissions.
Une faille exploitable sans compte utilisateur
La vulnérabilité CVE-2026-72898 permet à un attaquant non authentifié de provoquer une injection SQL dans la base de données de l’application Metabase. Selon le CERT-FR, l’exploitation peut conduire à l’obtention des droits administrateur sur l’instance.
L’agence ne se limite pas à un risque théorique : elle indique avoir connaissance de nombreuses compromissions de systèmes restés vulnérables. Les organisations exposant Metabase sur Internet doivent donc traiter l’alerte comme une priorité opérationnelle.
Les versions à vérifier immédiatement
Sont concernées les versions antérieures à x.58.28 et x.63.10, ainsi que les branches x.59.x avant x.59.25, x.60.x avant x.60.21, x.61.x avant x.61.15 et x.62.x avant x.62.13.
Le CERT-FR recommande d’appliquer les correctifs dans les plus brefs délais. Si la mise à jour immédiate est impossible, Metabase conseille de bloquer l’accès public au chemin /api/session/reset_password en attendant la remédiation complète.
Comment rechercher une compromission
Les journaux peuvent révéler une requête POST vers /api/session/reset_password renvoyant le code HTTP 400, suivie d’une requête GET vers /api/user/current avec un code 200. La présence de cette séquence doit déclencher une investigation, sans être considérée isolément comme une preuve définitive.
Pour une instance exposée, il faut aussi révoquer les sessions actives, contrôler les clés API et les comptes administrateur, renouveler les accès aux bases connectées et examiner l’historique des activités. Toute compromission constatée doit être signalée au CERT-FR et aux équipes de réponse compétentes.
Source consultée
CERT-FR
Alerte officielle CERTFR-2026-ALE-010 publiée le 10 septembre 2026.Une information à corriger ? Consultez la source ci-dessus puis contactez la rédaction.
