Metabaseは、バージョン1.58以上の重要なSQLインジェクション脆弱性が、顧客のデータを窃盗する攻撃で利用されたことを発表した。この脆弱性を利用した攻撃者は、認証なしでMetabaseの管理者アクセスを取得し、接続されたデータベースの資格情報を窃盗することができる。Metabaseは、攻撃を防ぐための緊急の修正を追加し、顧客にアップデートを呼びかけた。

この脆弱性は、Metabaseの0.58から0.63までのすべての影響を受けたブランチで修正され、最も安全なバージョンは0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5として決定された。Metabaseは、攻撃を検出するために、POSTリクエスト/api/session/reset_passwordが400ステータスコードを返したときに、そしてその後にGETリクエスト/api/user/currentが成功したときに警告する。顧客は、攻撃を受けた場合でも、攻撃者がパスワードを取得できないことを示した。

FrameworkやTallyのような企業は、Metabaseのインスタンスが侵害され、顧客のデータが窃盗されたことを確認した。Frameworkは、攻撃者が顧客の名前、メールアドレス、請求先および配送先住所などの情報にアクセスしたことを発表した。Tallyは、攻撃者がメールアドレスやパスワードにアクセスしたが、フォームや回答にはアクセスできなかったことを示した。