Metabase 0.58.x < 0.58.15 / 0.59.x < 0.59.12 / 0.60.x < 0.60.6.3 / 0.61.x < 0.61.1.4 / 1.58.x < 1.58.15 / 1.59.x < 1.59.12 / 1.60.x < 1.60.6.3 / 1.61.x < 1.61.1.4 RCE(CVE-2026-59827)
high Nessus プラグイン ID 331862
Language:
概要
リモートホストは、リモートでコードが実行される脆弱性の影響を受けます。説明
リモートホストにインストールされている Metabase のバージョンは、0.58.15 より前、0.59.x0.59.12 より前、0.60.x0.60.6.3 より前、0.61.x0.61.1.4 より前、1.58.x1.58.15 より前、1.59.x1.59.12 より前、1.60.x1.60.6.3 より前、1.61.x1.61.1.4 より前0.58.xです。したがって、以下のリモートコード実行の脆弱性の影響を受けます。- デフォルトのサンプルデータベースを含む H2 データベース接続を持つメタベースインスタンスは、タイプ OTHER の H2 ネイティブクエリ結果列で返された任意の Java オブジェクトを検証なしで逆シリアル化します。これにより、ネイティブ H2 クエリを実行できる認証されたユーザーがメタベースサーバー上でコードを実行することが可能になります。(CVE-2026-59827)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
メタベース バージョン 0.58.15、0.59.12、0.60.6.3、0.61.1.4、1.58.15、1.59.12、1.60.6.3、1.61.1.4、またはそれ以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 331862
ファイル名: metabase_CVE-2026-59827.nasl
バージョン: 1.2
タイプ: Remote
ファミリー: CGI abuses
公開日: 2026/8/4
更新日: 2026/8/5
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.15
CVSS v2
リスクファクター: High
基本値: 9
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-59827
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:metabase:metabase
必要な KB アイテム: installed_sw/Metabase
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/6/30
脆弱性公開日: 2026/6/30
参照情報
CVE: CVE-2026-59827