2026年8月11日
Metabase SQLインジェクション脆弱性。Metabaseには、認証されていないリモート攻撃者がMetabaseアプリケーションデータベースに任意のSQLをインジェクトできるSQLインジェクション脆弱性が含まれており、インスタンスへの管理者アクセスを与える可能性があります。そこから、攻撃者はアプリケーション構成を変更し、接続されたデータベースの保存された認証情報を盗み、それらの接続を通じてアクセス可能なデータを読み取り、データをエクスポートできます。必要な措置：ベンダーの指示に従って軽減策を適用し、CISAのBOD 26-04「リスクに基づくセキュリティ更新の優先順位付け」（注記のURLを参照）ガイダンスおよびCISAの「フォレンジック分類要件」（注記のURLを参照）に準拠していることを確認してください。クラウドサービスに適用可能なBOD 26-04ガイダンスに従うか、軽減策が利用できない場合は製品の使用を中止してください。利害関係者は各資産のインターネット露出を評価し、BOD 26-04パッチガイドラインへの準拠を確保する責任があります。連邦機関は2026-08-14までに修復する必要があります。
CISA既知の悪用される脆弱性カレンダー