Premier Ministre S.G.D.S.N Agence nationalede la sécurité dessystèmes d'information Paris, le 10 septembre 2026 N° CERTFR-2026-ALE-010 Affaire suivie par: CERT-FR Bulletin d'alerte du CERT-FR Objet: Vulnérabilité dans Metabase Gestion du document Référence CERTFR-2026-ALE-010 Titre Vulnérabilité dans Metabase Date de la première version10 septembre 2026 Date de la dernière version10 septembre 2026 Source(s) Article de blogue de Metabase du 06 août 2026Bulletin de sécurité Metabase du 06 août 2026Article de blogue de Metabase du 27 août 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risque Injection SQL (SQLi) Systèmes affectés metabase versions antérieures à x.58.28 metabase versions antérieures à x.63.10 metabase versions x.59.x antérieures à x.59.25 metabase versions x.60.x antérieures à x.60.21 metabase versions x.61.x antérieures à x.61.15 metabase versions x.62.x antérieures à x.62.13 Résumé Le 06 août 2026, Metabase a publié un avis de sécurité concernant une vulnérabilité critique permettant à un attaquant non authentifié de provoquer une injection SQL (SQLi) dans la base de donnée de l'application Metabase. Cette injection SQL permet d’obtenir les droits administrateur de l'instance.
Le CERT-FR a connaissance de nombreuses compromissions de Metabase vulnérables. Recherche de compromission Les tentatives d'exploitations sont observables dans les journaux applicatifs et les journaux Metabase. Elles sont caractérisées par la succession de ces deux requêtes : POST /api/session/reset_password avec un code retour HTTP 400 ; GET /api/user/current avec un code retour HTTP 200.
En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les fiches réflexes de compromission système [1][2]. Mesures de contournement Le CERT-FR recommande l'application des correctifs dans les plus brefs délais. Si cela n'est pas possible, Metabase recommande de bloquer l'accès public au chemin /api/session/reset_password.
Remédiation Si le chemin d'accès /api/session/reset_password est public, l'éditeur préconise de : révoquer toutes les sessions utilisateur actives en accédant à la base de données de l’application Metabase et en supprimant toutes les lignes de la table core_session ; inspecter vos clés API et supprimer toutes les clés non reconnues ; inspecter les comptes administrateur afin de détecter toute modification inattendue ; renouveler les identifiants d’accès pour toutes les bases de données connectées ; inspecter les journaux pour détecter tout signe d'accès non autorisé ; inspecter l'historique des activités et des requêtes de Metabase pour détecter toute activité inattendue ou non autorisée. Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Article de blogue de Metabase du 06 août 2026 https://www.metabase.com/blog/security-update-6-aug-2026 Bulletin de sécurité Metabase du 06 août 2026 https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf Article de blogue de Metabase du 27 août 2026 https://www.metabase.com/blog/vulnerability-what-happened [1] Compromission système - Qualification https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-005/ [2] Compromission système - Endiguement https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-006/ Avis CERT-FR CERTFR-2026-AVI-1075 du 24 août 2026 https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1075/ Bulletin d'actualité CERTFR-2026-ACT-034 https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-034/ Bulletin d'actualité CERTFR-2026-ACT-035 https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-035/ Publications de Metabase sur GitHub https://github.com/metabase/metabase/releases Référence CVE CVE-2026-72898 https://www.cve.org/CVERecord?id=CVE-2026-72898 Gestion détaillée du document le 10 septembre 2026 Version initiale