CVE-2026-103928: Metabase: leitura e gravação arbitrária de arquivos via funções internas inseguras do H2

Visão geral

O Metabase é uma plataforma open source de business intelligence e análise de dados. O registro descreve consultas nativas e ações contra uma fonte H2 que repassam funções internas voltadas ao host sem restrição, permitindo que um usuário autorizado alcance funções de leitura e gravação de arquivos, CSV e vinculação de esquemas. O aviso do fornecedor está registrado como GHSA-cwxq-fmxq-jv8h e a CVE consta na entrada do NVD.

Impacto

O registro informa que um usuário autorizado pode ler ou gravar arquivos arbitrários no servidor do Metabase ou vincular outros bancos de dados.
O vetor CVSS 4.0 do registro indica alto impacto na confidencialidade e na integridade do sistema vulnerável, sem impacto na disponibilidade e sem impacto em sistemas subsequentes.
O registro traz pontuação base de 9.3 (crítica) e, no SSVC, automatizável como sim e impacto técnico total.
O banco de exemplo padrão usa H2, o que indica que a superfície exposta existe em configurações padrão.

Produtos e versões afetadas

Produto: Metabase.
A descrição identifica a faixa vulnerável a partir de 1.55.0 e anterior a 1.58.16, 1.59.13, 1.60.9 e 1.61.4.
Os dados de afetação também listam faixas mais antigas da linha 0.x, corrigidas em 0.58.15.3, 0.59.12.1, 0.60.8.1 e 0.61.3.4.
O campo de correções do registro está vazio, então o mapeamento de versões corrigidas acima vem da descrição e das faixas afetadas.

Status de exploração

O registro indica KEV como falso, portanto não há exploração ativa confirmada nas fontes consultadas.
Os dados de EPSS estão ausentes no registro, então a probabilidade de exploração segundo o EPSS é desconhecida.
O campo de exploração do SSVC está como nenhuma no registro.

Correção e mitigação

Atualize o Metabase para uma versão corrigida da linha correspondente: 1.58.16, 1.59.13, 1.60.9 ou 1.61.4, ou a versão 0.x correspondente listada nos dados de afetação.
Revise quais usuários possuem permissão para executar consultas nativas ou ações e restrinja essas permissões aos que realmente precisam.
Avalie se fontes de dados H2, incluindo o banco de exemplo padrão, estão em uso e se podem ser removidas ou isoladas quando não forem necessárias.
O registro não descreve um contorno, então qualquer medida provisória deve ser validada pelo operador.

Orientações de detecção

Revise os logs de auditoria e de consultas do Metabase em busca de consultas nativas ou ações que façam referência a funções internas de arquivo, CSV ou de vinculação de esquemas, em nível geral.
Procure criação ou modificação inesperada de arquivos no host do Metabase, sobretudo em locais onde a aplicação normalmente não grava.
Monitore novos vínculos com outros bancos de dados criados a partir de fontes H2.

Limitações das informações disponíveis

O registro não inclui o nome da CWE, apenas o identificador CWE-73.
Os dados de EPSS estão nulos no registro.
O campo de correções está vazio, então o mapeamento de versões corrigidas depende da descrição e das faixas afetadas.
O registro não inclui detalhes de prova de conceito, cronologia de exploração ou contornos.

Perguntas frequentes

O que é a CVE-2026-103928?

É um problema crítico no Metabase em que consultas nativas e ações contra fontes H2 repassam funções internas voltadas ao host sem restrição. O registro informa que usuários autorizados podem ler ou gravar arquivos arbitrários no servidor ou vincular outros bancos de dados.

Quais versões estão corrigidas?

A descrição indica correção nas versões 1.58.16, 1.59.13, 1.60.9 e 1.61.4. Os dados de afetação também listam as versões 0.x corrigidas 0.58.15.3, 0.59.12.1, 0.60.8.1 e 0.61.3.4.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica KEV como falso e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados de EPSS estão ausentes no registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.