CVE-2022-24854

Metabase (versões afetadas não especificadas)

O problema diz respeito ao Metabase, um aplicativo de inteligência de negócios e análise de código aberto, afetando especificamente usuários que utilizam o SQLite. O SQLite possui um recurso chamado ATTACH DATABASE, que permite conectar vários bancos de dados SQLite por meio da conexão inicial. Se um invasor tiver permissões SQL para pelo menos um banco de dados SQLite, ele poderá anexar esse banco de dados a um segundo banco de dados e consultar todas as tabelas, desde que também conheça o caminho do arquivo do segundo banco de dados.

Para resolver o problema, recomenda-se que os usuários atualizem o software o mais rápido possível.

Se não for possível atualizar, você pode modificar suas strings de conexão do SQLite para incluir o argumento de URL ?limit attached=0, o que impedirá a conexão com outros bancos de dados SQLite.