EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2026-72898 Inyección SQL en el endpoint de restablecimiento de contraseña de Metabase

Metabase permite a un atacante remoto no autenticado inyectar SQL arbitrario a través del endpoint de base de datos '/reset_password' y obtener acceso de administrador a la instancia de Metabase conectada.

Alerta de Nureq Monitor

Detectada 12 OCT · 04:46Última novedad 13 OCT · 16:45

CVSS 3.1

10.0CRÍTICA

CVSS 4.0

10.0 CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

97,4 % PERCENTIL 100

EXPLOTACIÓN ACTIVA

Sí DESDE 11/08/2026

EXPLOIT PÚBLICO

Sí 2 REPOSITORIOS

Qué es CVE-2026-72898

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 11 de agosto de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 14 de agosto de 2026. Corregirla es prioritario.

Productos y versiones afectadas

Metabase
- desde x.58.0 hasta antes de x.58.24
- desde x.59.0 hasta antes de x.59.21
- desde x.60.0 hasta antes de x.60.17
- desde x.61.0 hasta antes de x.61.11
- desde x.62.0 hasta antes de x.62.9
- desde x.63.0 hasta antes de x.63.5

Qué hacer

Verificá si usás Metabase y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 10.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Cambiado
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

CVSS 4.0 · 10.0 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Alta
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Alta
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Alta
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Alta

Abrir la calculadora completa

Descripción original

Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.

Referencias

github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjfVENDOR-ADVISORY
www.metabase.com/blog/security-updateVENDOR-ADVISORY
www.cve.org/CVERecord?id=CVE-2026-72898VDB-ENTRY
raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-222-01.jsonTHIRD-PARTY-ADVISORY
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-72898GOVERNMENT-RESOURCE

Historial de la alerta

12 OCT · 04:46EXPLOIT PÚBLICO Se publicó el repositorio Riftweld/metabase-cve-2026-72898.
13 OCT · 16:45EXPLOIT PÚBLICO Se publicó el repositorio gagaltotal/CVE-2026-72898-metabase.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.