オープンソースのBIツール「Metabase」に緊急度10の脆弱性、対策済みの最新バージョンに更新を

　オープンソースのBIツール「Metabase」にSQLインジェクションの脆弱性（CVE-2026-72898）があるとして、MetabaseおよびJPCERT/CCが情報を公開している。緊急度はCVSS 4.0、3.xともに10。この脆弱性は、CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）が公開している、実際に悪用された脆弱性をまとめた「KEVカタログ」にも掲載されている。

　遠隔の第三者が認証なしで細工したリクエストを送信することで、Metabaseのアプリケーションデータベースに対して不正なSQLクエリを実行し、Metabaseの管理者権限を取得できる可能性がある。JPCERT/CCでは、開発者が提供する情報を参照のうえで早急な対策を実施することと、あわせて脆弱性の影響を受けるエンドポイントがインターネットからアクセス可能であった場合は、侵害有無を調査し、侵害を受けた可能性がある場合は必要な対処を実施することを呼び掛けている。

　影響を受けるバージョンは以下。Metabaseでは、58系より前のバージョンは影響を受けないとしており、また、Metabase Cloudでは対策済みだとしている。

・Metabase 63系：x.63.5より前のバージョン
・Metabase 62系：x.62.9より前のバージョン
・Metabase 61系：x.61.11より前のバージョン
・Metabase 60系：x.60.17より前のバージョン
・Metabase 59系：x.59.21より前のバージョン
・Metabase 58系：x.58.24より前のバージョン