KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-72898 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Metabase 是一款开源的数据分析与可视化平台，可连接多种数据源进行数据查询、分析和可视化。2026年8月披露其密码重置功能存在SQL注入漏洞。该漏洞可远程利用，且无需任何权限。Metabase 密码重置（reset_password）接口的请求参数校验过于宽松，请求中携带的额外参数未经有效校验即进入后端用户查询逻辑，攻击者可借此执行SQL语句，并进一步获取管理员会话，导致管理员账号接管与敏感数据泄漏。该漏洞已有确认的在野利用。
影响范围
应用：metabase metabase（影响面 Up to (excluding) 0.58.24）
应用：metabase metabase（影响面 Up to (excluding) 0.59.21）
应用：metabase metabase（影响面 Up to (excluding) 0.60.17）
应用：metabase metabase（影响面 Up to (excluding) 0.61.11）
应用：metabase metabase（影响面 Up to (excluding) 0.62.9）
应用：metabase metabase（影响面 Up to (excluding) 0.63.5）
应用：metabase metabase（影响面 Up to (excluding) 1.58.24）
应用：metabase metabase（影响面 Up to (excluding) 1.59.21）
……另有 4 项受影响环境，详见官方公告
解决方案
1、升级至对应修复版本：开源版升级至 0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5 及以上，企业版升级至 v1.58.24、v1.59.21、v1.60.17、v1.61.11、v1.62.9、v1.63.5 及以上。
2、利用安全组设置其仅对可信地址开放。
3、无法立即升级时，在代理/网关层封禁对密码重置（reset_password）接口的外部访问。
参考信息
https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf
https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-222-01.json
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-72898
https://www.cve.org/CVERecord?id=CVE-2026-72898
https://www.metabase.com/blog/security-update
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。