Metabase-Setup-Endpoint-SQLi-Fix

CVE-2026-72898：Metabase 设置端点 SQLi 补丁 本仓库包含针对 CVE-2026-72898 的热修复，这是自托管 Metabase 实例的设置端点中存在的一个未认证 SQL 注入漏洞。 若不修补，攻击者可绕过设置令牌验证，执行任意数据库命令，并提取数据仓库凭据。 根本原因 validate-setup-token 函数此前接受未经校验的用户输入，并将其直接拼接进原始 JDBC 字符串。这使得攻击者能够逃逸出 SQL 字符串并追加恶意命令。 补丁架构 本补丁从根本上转变验证机制，以消除 SQL 注入向量： 1. ORM 集成： 将数据库查询从原始字符串迁移到...