CVE-2026-50147
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Metabase: Arbitrary File Read via MySQL Connection Property Injection
Metabase is an open-source business intelligence and embedded analytics tool. From 1.57.0 until 1.57.19.1, 1.58.14.1, 1.59.10, and 1.60.4, an attacker who can configure a Metabase database connection can read arbitrary files from the Metabase server's filesystem by adding unsafe JDBC parameters to a MySQL or MariaDB connection, causing the driver to read files from the Metabase host and expose the contents through queries against the connected database or through validation error messages. This issue is fixed in versions 1.57.19.1, 1.58.14.1, 1.59.10, and 1.60.4.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
metabase
- Fornecedor
- metabase
- Produto
- metabase
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 1.57.0, < 1.57.19.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.58.0, < 1.58.14.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.59.0, < 1.59.10 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.60.0, < 1.60.4 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |