# Metabase : injection SQL sans authentification, nombreuses compromissions

- Link: https://dpioch.aristeecampus.org/veille/metabase-injection-sql-sans-authentification-nombreuses-compromissions/
- Published: 2026-09-11T10:00:00+02:00
- Author: Admin

[⌊Capture réelle de la page source : CERT-FR — CERTFR-2026-ALE-010⌉⌊Capture réelle
de la page source : CERT-FR — CERTFR-2026-ALE-010⌉[

Bulletin d’alerte du CERT-FR référencé CERTFR-2026-ALE-010 intitulé « Vulnérabilité
dans Metabase », publié le 10 septembre 2026, concernant une injection SQL affectant
les versions de Metabase antérieures à x.58.28, x.63.10 et x.59.25. Capture du 7
octobre 2026. [Consulter la source](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-010/)

## Contexte

Metabase est un outil open source de tableaux de bord et de reporting. Il est connecté
directement aux bases de données de l’entreprise, ce qui en fait une cible de choix.
Le 10 septembre 2026, le CERT-FR a publié une alerte sur la CVE-2026-72898 et indique
avoir connaissance de nombreuses compromissions.

## Analyse

 * Injection SQL exploitable par un utilisateur **non authentifié** via `/api/session/
   reset_password`, qui permet d’obtenir les droits administrateur de l’instance.
 * Versions corrigées : x.58.28, x.59.25, x.60.21, x.61.15, x.62.13 et x.63.10.
 * Signature de détection donnée par le CERT-FR, à chercher dans les journaux du
   reverse proxy : une requête `POST /api/session/reset_password` ayant reçu une
   réponse HTTP 400, suivie d’un `GET /api/user/current` ayant reçu une réponse 
   HTTP 200.

## Remédiation

 * Mettre à jour vers une version corrigée au plus vite.
 * En attendant : bloquer l’accès public à `/api/session/reset_password` au niveau
   du reverse proxy ou du WAF.
 * En cas de compromission : révoquer les sessions, contrôler les clés API et les
   comptes administrateurs, renouveler les identifiants de toutes les bases connectées,
   analyser les journaux.

## À retenir

 * Un outil de reporting détient les accès aux bases qui lui sont connectées : sa
   compromission impose de renouveler les identifiants concernés.
 * La séquence POST 400 puis GET 200 se traduit facilement en règle Sigma ou Wazuh
   sur les journaux web.