metabase-cve-2023-38646

CVE-2023-38646 — Metabase 事前認証リモートコード実行 概要 CVSS 9.8。Metabase の 0.46.6.1 / 1.46.6.1 より前のバージョン（および同等の以前のブランチ）は、初期セットアップ中にデータベース接続情報を検証するための /api/setup/validate エンドポイントを介して、事前認証 RCE を露呈します。このエンドポイントは、セットアップがすでに完了した後でも認証なしで到達可能です。 根本原因 このエンドポイントはデータベース接続ペイロードを受け入れ、巧妙に細工された JDBC 接続文字列で engine: h2...