CVE-2026-72899Inyección SQL sin autenticación en Metabase
Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.
Ver en NVDAnálisis
Metabase permite a atacantes no autenticados ejecutar inyección SQL arbitraria mediante tableros o tarjetas compartidas que utilicen parámetros de filtrado. Esto otorga acceso total a las bases de datos conectadas para extraer o manipular información sensible sin necesidad de credenciales. Es una vulnerabilidad crítica que afecta a cualquier equipo que utilice Metabase para visualización de datos de negocio.
Roles relevantes
Severidad
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HCWE-89EPSS
Sin puntaje EPSS aún (CVE muy reciente).
Descripción técnica
Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.