CVE-2026-72898

Metabase の SQL インジェクション（パスワードリセットエンドポイント経由）

認証なしのリモート攻撃者が /reset_password 系のエンドポイント経由で任意の SQL を注入し、Metabase インスタンスの管理者権限を取得できる。CVE 公開は 2026-08-10、CVSS 3.1 と 4.0 とも 10.0（Critical）。CISA KEV に 2026-08-11 収載。JPCERT/CC は 2026-08-14 に注意喚起を出し、ゼロデイ攻撃の確認と、海外で 8 月 2 日に悪用されていたとする情報に触れた。国内では JPCERT-AT-2026-0030 のケース C として、API への不正リクエストを通じた悪用が挙げられている。

製品: Metabase
CISA KEV 収載: 2026-08-11
CVSS: v3.1 10.0
参照: cve.org

国内の事案

この CVE の悪用が公表や調査で示されたもの

この CVE に紐付く事案はまだ記録していません。

悪用した攻撃グループ

記録なし。

ベンダー・研究者の分析

外部の記事。題名を開くと発行元へ

2026-08-10Wiz ResearchInside the Metabase SQLi: Exploited in the Wild分析英語

出典

s1
データセットCVE-2026-72898 Metabase SQL injection via password reset endpoint
CVE Program · 取得 2026-10-12
s2
データセットCISA Known Exploited Vulnerabilities Catalog（2026.10.08 版）
CISA · 取得 2026-10-12 · Source: CISA Known Exploited Vulnerabilities Catalog
s3
公的機関MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
JPCERT/CC · 取得 2026-10-12 · 引用

更新 2026-10-13