內文
Metabase 原廠確認 CVE-2026-72898 已遭實際利用，CVSS v3.1 10.0。可接觸受影響自架實例的未驗證攻擊者，可能以 SQL 注入取得 Metabase 管理權限，再取用儲存的資料庫憑證、查詢或匯出連線有權讀取的資料。
- 01
未驗證端點可達
攻擊者可連線至受影響的自架 Metabase
- 02
應用資料庫 SQL 注入
惡意請求影響 Metabase 自身的應用資料庫
- 03
取得平台管理權限
可能改設定或讀取已儲存的資料庫憑證
- 04
查詢與匯出資料
影響依連線帳號可讀範圍及資料權限而定
修補版本與必要的升級後行動
原廠目前建議依版本分支更新至 x.58.24、x.59.21、x.60.17、x.61.11、x.62.9、x.63.5 或各分支更新修補版；x 為開源版 0 或商業版 1。容器映像與委外實例須逐一確認實際版號。
受影響邊界的官方資料有差異：GHSA 的各分支上限比其「Patched versions」欄較早，CVE 紀錄與 CSA 則以較後的建議修補版為界。維運請採上述原廠目前建議修補目標，避免只憑較早邊界判定安全。
無法立即更新時，原廠建議暫時封鎖 /api/session/reset_password。若此端點曾公開可達，更新後仍須依原廠指引撤銷工作階段、檢視金鑰與管理員、輪替所有已連接資料庫憑證，並查核資料倉儲與 Metabase 活動及查詢歷史。
- 01
阻斷端點並更新
盤點自架、委外及容器實例。無法立即升級時，在實際入口封鎖 /api/session/reset_password，隨後依分支更新並複驗全部入口。
看看能怎麼應對2項資源
TWISA 會員方案
阻斷端點並更新
盤點自架、委外及容器實例。無法立即升級時，在實際入口封鎖 /api/session/reset_password，隨後依分支更新並複驗全部入口。
- 02
撤銷工作階段與清查身分
曾公開暴露該端點者，升級後由管理者依原廠指引清空應用資料庫 core_session，撤銷所有工作階段；檢視 API 金鑰與管理員異動。
看看能怎麼應對2項資源
TWISA 會員方案
撤銷工作階段與清查身分
曾公開暴露該端點者，升級後由管理者依原廠指引清空應用資料庫 core_session，撤銷所有工作階段；檢視 API 金鑰與管理員異動。
- 03
輪替資料庫憑證
輪替已連接資料庫的帳密，確認應用連線，縮小查詢與匯出權限，盤點可讀敏感資料及明文解密權限。
看看能怎麼應對2項資源
TWISA 會員方案
輪替資料庫憑證
輪替已連接資料庫的帳密，確認應用連線，縮小查詢與匯出權限，盤點可讀敏感資料及明文解密權限。
- 04
追查存取並復原
檢視資料倉儲、反向代理及應用紀錄、活動與查詢歷史；有異常時保全證據、隔離與可信復原，驗證報表與資料完整性。
看看能怎麼應對2項資源
TWISA 會員方案
追查存取並復原
檢視資料倉儲、反向代理及應用紀錄、活動與查詢歷史；有異常時保全證據、隔離與可信復原，驗證報表與資料完整性。
盤點各入口、開源或商業版、容器映像、連線帳號與敏感資料
業務連線依授權放行，各層分別落實防護
- 01
公開與內部入口
反向代理及風險端點
封鎖並複驗暫時封鎖密碼重設端點，限制來源，防止直連繞過
- 02
分析平台
Metabase 與應用資料庫
更新並清理存取依分支更新，撤銷 session、檢視 API 金鑰與管理員
- 03
資料庫與資料倉儲
服務帳密、查詢與匯出
降低資料外洩範圍輪替帳密、最小權限，分離敏感明文與解密授權
各層日誌與流量，送往監控與應變流程
- 監控與復原關聯應用、代理與資料倉儲紀錄，追查異常管理、查詢及匯出，保全證據並驗證可信備份。
主動測試與複驗
經授權後進行資產探測、弱點掃描、滲透、API 測試與攻擊模擬，確認所有入口的端點封鎖、修補版號及資料權限。WAF 或代理規則須核對請求、告警、實際阻擋與後端結果，並檢查可繞過代理的直連路徑；調整後複測。資料加密與遮罩應分離解密授權，磁碟加密無法限制已具合法查詢權的受侵帳號。
TWISA 會員方案
對應「阻斷端點並更新」
適用優惠：騰雲運算「SkyCloud 資安防護包」可協助公開網站入口的流量與 WAF 防護規劃。首次導入企業須取得導入前後檢測報告，繳交報告後申請 TWISA 專屬折扣碼，期限至 2026/12/31，採定向邀請與審核制。密碼重設端點封鎖仍須依實際反向代理與規則逐一驗證。
盤點自架、委外及容器實例。無法立即升級時，在實際入口封鎖 /api/session/reset_password，隨後依分支更新並複驗全部入口。
對應「撤銷工作階段與清查身分」
曾公開暴露該端點者，升級後由管理者依原廠指引清空應用資料庫 core_session，撤銷所有工作階段；檢視 API 金鑰與管理員異動。
對應「輪替資料庫憑證」
輪替已連接資料庫的帳密，確認應用連線，縮小查詢與匯出權限，盤點可讀敏感資料及明文解密權限。
對應「追查存取並復原」
檢視資料倉儲、反向代理及應用紀錄、活動與查詢歷史；有異常時保全證據、隔離與可信復原，驗證報表與資料完整性。
官方來源
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/11/06。產品支援與修補狀態以原廠最新資料為準。