CVE-2026-33725

إصدارات Metabase Enterprise من 1.47 إلى 1.54.21

إصدارات Metabase Enterprise من 1.55.0 إلى 1.55.21

إصدارات Metabase Enterprise من 1.56.0 إلى 1.56.21

إصدارات Metabase Enterprise من 1.57.0 إلى 1.57.15

إصدارات Metabase Enterprise من 1.58.0 إلى 1.58.9

إصدارات Metabase Enterprise من 1.59.0 إلى 1.59.3

يمكن للمسؤولين المصادق عليهم تنفيذ التعليمات البرمجية عن بُعد (RCE) وقراءة الملفات بشكل تعسفي. يحدث ذلك عبر نقطة النهاية ’POST /api/ee/serialization/import‘ عندما يقوم أرشيف تسلسل مُعد خصيصًا بإدخال خاصية INIT في مواصفات H2 JDBC، مما يسمح بتنفيذ أوامر SQL تعسفية أثناء مزامنة قاعدة البيانات. تؤثر هذه المشكلة بشكل خاص على إصدار Enterprise Edition وقد تم تأكيدها في Metabase Cloud.

التحديث إلى الإصدار 1.54.22

التحديث إلى الإصدار 1.55.22

التحديث إلى الإصدار 1.56.22

التحديث إلى الإصدار 1.57.16

التحديث إلى الإصدار 1.58.10

التحديث إلى الإصدار 1.59.4

كحل مؤقت، قم بتعطيل نقطة نهاية استيراد التسلسل لمنع الوصول إلى مسارات التعليمات البرمجية المتأثرة.