在 Framework 和 Tally 报告数据被盗后，Metabase 修补了被利用的 SQL 注入漏洞

该未经过身份验证的 SQL 注入漏洞使攻击者能够从分析实例访问已连接数据库的凭据和客户记录。

By · Published

Primary source: BleepingComputer

为何重要

Metabase 可以保存查询已连接数据库所需的凭证和权限，因此一个无需身份验证的漏洞将该分析工具变成了通向客户记录的途径。

Illustration of a Metabase analytics instance leaking database credentials and customer records after an SQL injection reported by Framework and Tally.

Sameer Al-Sakran，Metabase 的创始人兼 CEO，于 8 月 6 日披露，有攻击者利用一个此前未知的漏洞针对 Metabase Cloud，迫使 Metabase 屏蔽受影响的端点并修补客户实例。BleepingComputer reported 在 8 月 7 日报道，笔记本制造商 Framework 和表单构建器 Tally 已确认其 Metabase 环境发生数据被窃。(Metabase)…

When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.

Reader comments

Conversation for this story loads after sign-in.