HIGH🇬🇧 English

CVE-2022-39361

CVSS 8.8v3.1pub. 2022-10-26upd. 2024-11-21

Metabase is data visualization software. Prior to versions 0.44.5, 1.44.5, 0.43.7, 1.43.7, 0.42.6, 1.42.6, 0.41.9, and 1.41.9, H2 (Sample Database) could allow Remote Code Execution (RCE), which can be abused by users able to write SQL queries on H2 databases. This issue is patched in versions 0.44.5, 1.44.5, 0.43.7, 1.43.7, 0.42.6, 1.42.6, 0.41.9, and 1.41.9. Metabase no longer allows DDL statements in H2 native queries.

oryginał EN
CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  • Metabase

    APP
    Metabase
    0.41.0 – 0.41.9 (bez)0.42.0 – 0.42.6 (bez)0.43.0 – 0.43.7 (bez)0.44.0 – 0.44.5 (bez)1.41.0 – 1.41.9 (bez)1.42.0 – 1.42.6 (bez)1.43.0 – 1.43.7 (bez)1.44.0 – 1.44.5 (bez)
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
Tagi
RCE
CWE
Referencje

Powiązane podatności

CVE-2026-72898CRITICAL10.0⚠ KEVten sam produkt

Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database ...

CVE-2021-41277CRITICAL10.0⚠ KEVPL ✓ten sam produkt

Metabase – path traversal i odczyt lokalnych plików przez custom GeoJSON

CVE-2026-50148CRITICAL10.0PL ✓ten sam produkt

RCE w Metabase poprzez podatny sterownik JDBC Snowflake

CVE-2026-59826CRITICAL9.1PL ✓ten sam produkt

Metabase: RCE przez niebezpieczne właściwości połączenia H2 (admin)

CVE-2026-59827CRITICAL9.9PL ✓ten sam produkt

Metabase: RCE przez deserializację obiektów Java w zapytaniach H2