CVE-2026-72899Unauthenticated SQL Injection in Metabase
Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.
View on NVDAnalysis
Metabase permite a atacantes no autenticados ejecutar inyección SQL arbitraria mediante tableros o tarjetas compartidas que utilicen parámetros de filtrado. Esto otorga acceso total a las bases de datos conectadas para extraer o manipular información sensible sin necesidad de credenciales. Es una vulnerabilidad crítica que afecta a cualquier equipo que utilice Metabase para visualización de datos de negocio.
Relevant roles
Severity
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HCWE-89EPSS
No EPSS score yet (CVE may be too fresh).
Technical description
Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.