CVE-2021-41277criticalbajo ataqueCWE-200

CVE-2021-41277: fallo crítico en metabase

GeoJSON URL validation can expose server files and environment variables to unauthorized users

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear metabase

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 10epss 97%
de la publicación al arma4 días
Publicada en NVD17 nov
1ª PoC+4d
CISA KEV+1091d
Acción exigida por CISAplazo federal: 2024-12-03

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Metabase no validaba URLs al cargar mapas GeoJSON personalizados, permitiendo que atacantes accedieran a archivos sensibles y variables de entorno del servidor sin autorización.

Detalle técnico

CWE-200/CWE-22: La aplicación acepta URLs arbitrarias en el endpoint de configuración de mapas GeoJSON sin validación, habilitando ataques de falsificación de solicitud del lado del servidor (SSRF) e inclusión de archivo local (LFI). Un usuario no autenticado o con privilegios bajos puede cargar URLs tipo file:// para leer archivos locales y variables de entorno, exponiendo datos sensibles de configuración. Corregido en versiones 0.40.5, 1.40.5 y posteriores.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
Productos afectados
metabase · metabase
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — metabase

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-59827CRITICALMetabase: Unsafe Deserialization of H2 Query ResultsEPSS 3.8%CVE-2022-24853MEDIUMFile system exposure in MetabaseEPSS 2.5%CVE-2023-37470CRITICALMetabase vulnerable to remote code execution via POST /api/setup/validate API endpoint EPSS 1.3%CVE-2022-39361HIGHMetabase vulnerable to Remote Code Execution via H2EPSS 1.3%CVE-2022-24854HIGHDatabase bypassing any permissions in Metabase via SQlite attachEPSS 1.1%CVE-2022-39362HIGHMetabase vulnerable to arbitrary SQL execution from queryhashEPSS 1.0%