Metabaseのビジネスインテリジェンスおよびデータ視覚化ソフトウェアで検出されたゼロデイ脆弱性は、CVSSスコア10.0のSQLインジェクションの可能性を提供し、CVE識別子を持たない遠隔地からの攻撃を許可する。この脆弱性により、認証なしの攻撃者がアプリケーションのデータベースに任意のSQLをインジェクトして管理者権限を取得することが可能となる。影響を受けるバージョンは1.58.0以降のさまざまなサブバージョンで指定され、Metabaseによってパッチが公開されている。

この脆弱性の使用法は、'/api/session/reset_password'エンドポイントに対するPOSTリクエストが400ステータスコードを返すことから始まり、続いて'/api/user/current'アドレスに対するGETリクエストが200コードで完了する。暫定的な解決策として、このエンドポイントのブロックが推奨されており、パッチを適用した後は、有効なユーザーセッションの破棄、不明なAPIキーの削除、管理者アカウントの確認、関連データベースの資格情報の回復、およびアクセスログの詳細な分析が推奨されている。

Metabaseは、説明の中で悪意のある活動の詳細を共有しなかったが、Frameworkというコンピューターメーカーの顧客名、ログインIPアドレス、住所、電話番号、および電子メールアドレスが取得されたことを示唆した。ただし、支払いまたは注文データは影響を受けていないと述べられている。