CVE-2026-33725 Metabase RCE 漏洞，影响企业版

CVE-2026-33725 影响 Metabase Enterprise 在 1.54.22、1.55.22、1.56.22、1.57.16、1.58.10 和 1.59.4 之前的版本。 此漏洞允许 Enterprise 版中的经过身份验证的管理员通过 /api/ee/serialization/import 端点实现远程代码执行 (RCE) 和任意文件读取。 攻击是通过向 H2 JDBC 规范注入 INIT 属性来执行的。 此注入可以在数据库同步期间执行任意 SQL 代码，从而危及数据完整性和保密性。 此漏洞的 CVSS 评分是 7.2，表明存在重大风险。

Organizations utilizing Metabase Enterprise for business intelligence and analytics are at risk. Specifically, deployments with lax access controls for administrator accounts or those relying on legacy configurations without robust input validation are particularly vulnerable. Shared hosting environments running Metabase Enterprise also present a heightened risk due to potential cross-tenant exploitation.

• linux / server: Monitor Metabase logs for unusual database sync activity or SQL execution attempts. Use journalctl -u metabase to filter for relevant log entries.

journalctl -u metabase | grep "INIT property" 

• java: Examine Metabase's internal database logs (H2) for suspicious SQL queries originating from serialization imports. • generic web: Monitor access logs for requests to /api/ee/serialization/import with unusual or large POST data payloads.

grep -i "/api/ee/serialization/import" access.log

1. 2026-03-27Disclosure

   disclosure

2. 2026-03-27Patch

   patch

1. 已保留2026-03-23
2. 发布日期2026-03-27
3. 修改日期2026-03-28
4. EPSS 更新日期2026-04-03

建议的解决方案是将 Metabase Enterprise 升级到 1.59.4 或更高版本。 此版本包含此漏洞的修复程序。 如果无法立即升级，请限制对 /api/ee/serialization/import 端点的访问，仅允许受信任用户访问，并积极监控系统日志是否存在可疑活动。 实施最小权限原则也很重要，以确保管理员仅拥有执行其任务所需的权限。 采取这些缓解措施可以帮助降低漏洞被利用的风险，直到可以执行升级。