Metabase CVE-2026-72898: la pagina di reset password apre l'accesso admin e le credenziali dei database

La funzione che dovrebbe aiutare chi ha dimenticato la password è diventata la porta d'ingresso. La CVE-2026-72898 interessa Metabase, la piattaforma open source di business intelligence usata per costruire dashboard sopra i database aziendali, ed è una SQL injection con bypass dell'autenticazione che ACN valuta con score CVSS v4.0 pari a 10.0: l'endpoint POST /api/session/reset_password non sanifica l'input prima di comporre la query verso il database applicativo interno, e poiché non richiede autenticazione chiunque raggiunga l'istanza in rete può manipolare la logica della query. L'esito non è la semplice lettura di dati: l'attaccante ottiene l'accesso diretto all'applicazione con i massimi privilegi amministrativi.

Il danno vero sta a valle. Metabase conserva le credenziali di tutti i database che interroga, quindi la compromissione dell'applicazione si propaga a ogni sorgente dati collegata: l'attaccante può leggere ed esportare le informazioni, modificare la configurazione e riutilizzare quelle credenziali altrove. Lo stesso alert ACN lo dice in modo esplicito, avvertendo che «il potenziale impatto potrebbe estendersi oltre il dominio dell'applicazione». Il vendor ha pubblicato l'advisory il 6 agosto 2026 confermando gli attacchi in corso, la vulnerabilità è entrata nel catalogo KEV della CISA, e le scansioni condotte dopo la disclosure contavano ancora migliaia di istanze self-hosted non aggiornate; almeno cinque organizzazioni risultano compromesse con esfiltrazione delle credenziali dei database connessi.

A doversene preoccupare è chi ha un Metabase self-hosted raggiungibile dalla rete, condizione più comune di quanto sembri: lo strumento viene spesso installato dal team dati senza passare dall'infrastruttura, esposto per comodità di consultazione e poi dimenticato nel ciclo delle patch. Il perimetro di esposizione coincide con l'elenco dei database che l'istanza interroga, non con l'istanza stessa. Chi non può aggiornare subito dovrebbe togliere l'accesso da internet e, in caso di dubbio sulla compromissione, ruotare le credenziali di tutte le connessioni configurate: la patch chiude la falla, non revoca ciò che è già stato letto.

• Versioni affette: Metabase x.58.0 precedenti alla x.58.24, x.59.0 precedenti alla x.59.21, x.60.0 precedenti alla x.60.17, x.61.0 precedenti alla x.61.11, x.62.0 precedenti alla x.62.9, x.63.0 precedenti alla x.63.5.
• Azione raccomandata: aggiornare all'ultima release del proprio ramo seguendo l'advisory del vendor; rimuovere l'esposizione dell'interfaccia su internet dove non indispensabile; verificare i log applicativi per richieste anomale verso /api/session/reset_password e per la creazione di utenze amministrative non previste; in caso di sospetta compromissione ruotare le credenziali di tutti i database collegati all'istanza.

Fonti: ACN, Bishop Fox, Horizon3.ai, The Hacker News