Auf den Punkt: Eine mit CVSS 10.0 bewertete, aktiv ausgenutzte Zero-Day-Lücke in Metabase erlaubt unauthentifizierten Angreifern per SQL-Injection vollen Administratorzugriff auf die Plattform.
Metabase warnt vor einer Schwachstelle mit dem maximalen CVSS-Wert von 10.0 in seiner Business-Intelligence- und Datenvisualisierungssoftware, die bereits aktiv als Zero-Day ausgenutzt wird. Eine CVE-ID liegt bislang nicht vor.
Die Sicherheitslücke ermöglicht es einem nicht authentifizierten, entfernten Angreifer, beliebigen SQL-Code in die Anwendungsdatenbank von Metabase einzuschleusen. Über diese SQL-Injection lässt sich laut Hersteller Zugriff mit Administratorrechten erlangen, ohne dass zuvor eine Anmeldung erforderlich ist. Der Fehler betrifft die Kernkomponente der Software, die von Unternehmen zur Auswertung und Visualisierung von Geschäftsdaten eingesetzt wird. Bislang wurde der Schwachstelle keine offizielle CVE-Kennung zugewiesen.
Für CISOs ist die Kombination aus maximalem Schweregrad, fehlender Authentifizierungsvoraussetzung und bereits bestätigter Ausnutzung in freier Wildbahn besonders kritisch. Metabase-Instanzen werden häufig mit Zugriff auf sensible Geschäftsdaten und angebundene Datenbanken betrieben, sodass ein erfolgreicher Angriff nicht nur die BI-Plattform selbst kompromittiert, sondern auch Rückschlüsse auf oder direkten Zugriff auf nachgelagerte Datenquellen ermöglichen kann. Da keine Benutzerinteraktion und keine gültigen Zugangsdaten notwendig sind, ist die Angriffsfläche insbesondere für öffentlich erreichbare Metabase-Server erheblich.
Betreiber sollten umgehend prüfen, ob Metabase-Instanzen aus dem Internet erreichbar sind, und den Zugriff nach Möglichkeit auf interne Netze oder VPN-Verbindungen beschränken. Da der Originalbericht keine konkrete Patch-Version nennt, ist die aktuelle Herstellermitteilung von Metabase zu konsultieren, um verfügbare Sicherheitsupdates oder Workarounds zeitnah einzuspielen. Zusätzlich empfiehlt sich eine Prüfung vorhandener Logs auf Anzeichen ungewöhnlicher SQL-Aktivitäten oder unerwarteter administrativer Zugriffe im Zeitraum vor Bekanntwerden der Lücke.
Quelle: thehackernews.com · Erschienen 8. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.