A vulnerabilidade CVE-2026-72898 no Metabase recebeu pontuação máxima no CVSS (10,0) e está sob exploração ativa confirmada pelo fabricante. A CISA adicionou a falha ao catálogo Known Exploited Vulnerabilities (KEV) em 11 de agosto de 2026, com prazo final de correção em 14 de agosto — apenas três dias corridos. O ataque explora o endpoint /api/session/reset_password sem autenticação e pode conceder acesso de administrador à instância comprometida, permitindo roubo de credenciais e exfiltração de dados de todos os bancos conectados.
A inclusão no KEV ocorreu no mesmo lote que as falhas CVE-2026-20349 (Cisco ASA/FTD) e CVE-2026-68820 (Windows AFD), conforme já cobrimos em nossa análise das três adições. Este artigo aprofunda o aspecto técnico do CVE do Metabase: o vetor de ataque, as versões afetadas e os passos de remediação pós-correção.
Como o ataque funciona
A falha é uma injeção de SQL clássica (CWE-89) que afeta o banco de dados interno da aplicação Metabase. Um atacante remoto não autenticado envia uma requisição maliciosa ao endpoint /api/session/reset_password, injetando comandos SQL arbitrários. O Metabase confirmou que sua própria plataforma em nuvem foi atacada usando essa vulnerabilidade zero-day nas versões 1.58 e superiores, o que levou à descoberta e correção da falha.
Após conseguir injeção no banco de dados da aplicação, o atacante pode elevar privilégios até obter acesso de administrador à instância. A partir desse ponto, as consequências são severas: alteração da configuração do Metabase, roubo de credenciais armazenadas para todos os bancos de dados conectados, leitura de qualquer dado acessível por essas conexões e exportação de informações sensíveis sem despertar alertas imediatos.
O impacto é ampliado pelo fato de o Metabase ser uma ferramenta de análise de dados que, por design, mantém credenciais de múltiplas bases de dados corporativas. Um único comprometimento pode transformar a plataforma em um ponto central de acesso a diversos repositórios de dados sensíveis, funcionando como um trampolim para movimentação lateral na rede interna.
Versões afetadas e correções
O advisory de segurança publicado pelo Metabase lista as versões corrigidas para cada linha principal. Instâncias auto-hospedadas em qualquer versão igual ou superior à x.58.0 estão potencialmente vulneráveis se não tiverem sido atualizadas para o ponto de correção correspondente.
| Linha do Metabase | Versão corrigida | Imagem Docker |
|---|---|---|
| v63 | 0.63.5 | metabase/metabase:v0.63.5 |
| v62 | 0.62.9 | metabase/metabase:v0.62.9 |
| v61 | 0.61.11 | metabase/metabase:v0.61.11 |
| v60 | 0.60.17 | metabase/metabase:v0.60.17 |
| v59 | 0.59.21 | metabase/metabase:v0.59.21 |
| v58 | 0.58.24 | metabase/metabase:v0.58.24 |
Instâncias em versões anteriores à 58 não são afetadas. Para quem não puder atualizar imediatamente, o Metabase recomenda como workaround temporário bloquear o acesso ao endpoint /api/session/reset_password no nível do proxy reverso ou firewall de aplicação.
Como detectar comprometimento
O fabricante divulgou o padrão de ataque observado em sua própria infraestrutura. A assinatura de comprometimento é um par específico de requisições em sequência: uma chamada POST /api/session/reset_password com resposta HTTP 400 (Bad Request), seguida de GET /api/user/current com resposta HTTP 200 (OK).
Esse padrão indica que o atacante injetou SQL com sucesso na primeira requisição e, na sequência, acessou o endpoint de usuário atual já autenticado como administrador. Equipes de segurança devem buscar essa assinatura em logs de ingresso do servidor, logs da aplicação e logs de proxy reverso. Se o padrão for encontrado, há alta probabilidade de que a instância tenha sido comprometida.
A CISA atribuiu a classificação SSVC com exploitation=active, automatable=yes e technicalImpact=total, o que significa que a exploração pode ser automatizada e o impacto técnico é completo. A pontuação CVSS 3.1 de 10,0 reflete vetores de ataque por rede, baixa complexidade, ausência de privilégios e ausência de interação do usuário, com impacto total em confidencialidade, integridade e disponibilidade.
O que fazer após corrigir
Se o endpoint /api/session/reset_password esteve exposto publicamente antes da correção, o Metabase recomenda executar seis etapas obrigatórias de verificação e contenção, mesmo após aplicar o patch:
- Revogar todas as sessões ativas acessando o banco de dados da aplicação e removendo todos os registros da tabela
core_session. - Revisar chaves de API e excluir qualquer chave não reconhecida.
- Auditar contas de administrador em busca de alterações inesperadas.
- Rotacionar credenciais de todos os bancos de dados conectados ao Metabase.
- Revisar logs do data warehouse em busca de sinais de acesso não autorizado.
- Examinar o histórico de atividade e consultas do Metabase por operações suspeitas.
O prazo KEV vence em 14 de agosto de 2026 para agências federais civis dos EUA sujeitas à diretiva BOD 26-04, mas a CISA recomenda que todas as organizações tratem a correção como prioridade máxima. Para contexto sobre o volume recente de adições ao KEV, consulte nossa cobertura das falhas anteriores de Langflow, Tomcat e N-central e do CVE-2026-8037 no LoadMaster.