🇰🇷 한글 설명
Metabase에서 공개된 카드나 대시보드가 필드 필터(차원) 매개변수를 노출할 경우, 인증되지 않은 공격자가 임의의 SQL을 주입할 수 있는 취약점입니다. 이를 통해 공격자는 데이터베이스에 대한 비정상적인 쿼리를 실행할 수 있습니다.
💡 쉬운 설명
인터넷에 공개된 데이터 화면을 통해 해커가 몰래 데이터베이스 명령어를 입력할 수 있는 보안 구멍입니다. 이를 이용하면 허가되지 않은 데이터가 유출되거나 조작될 위험이 있습니다.
🇺🇸 원문 (English)
Metabase allows an unauthenticated attacker to inject arbitrary SQL via a publicly shared card or dashboard that exposes a field-filter (dimension) parameter.
📍 영향받는 시스템
Metabase (field-filter 매개변수를 사용하는 공개 공유 카드/대시보드 환경)
⚔️ 공격 벡터
공개된 대시보드의 필드 필터 매개변수에 악의적인 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
Metabase 최신 보안 패치 적용 및 민감한 데이터가 포함된 대시보드의 외부 공유 제한
🔧 검증 코드
공개된 카드 ID를 통해 인증 없이 접근 가능한지 확인하여 노출 여부를 점검합니다.
curl -s -I [Metabase_URL]/api/card/[CARD_ID] | grep -i 'HTTP/1.1 200 OK'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (2건)
Metabase 제품 보안 업데이트 권고
P5
📅 2026-09-03 · sec_notice
Metabase 제품에서 SQL Injection 및 권한 누락 취약점이 발견되었습니다. 최근 해당 취약점을 이용한 실제 공격 및 피해가 발생하고 있으므로, 영향을 받는 버전 사용자는 즉시 최신 버전으로 업데이트해야 합니다.
Metabase 제품 보안 업데이트 권고
P4
📅 2026-08-11 · sec_notice
Metabase 제품에서 SQL Injection 및 권한 누락(Missing Authorization) 취약점이 발견되었습니다. 해당 제품의 구버전을 사용하는 사용자는 데이터 유출 및 권한 탈취 위험이 있으므로, 안내된 최신 버전으로 즉시 업데이트해야 합니다.