Vulnerabilidade Crítica de SQLi no Metabase Leva a Roubo de Dados; Atualização Urgente Necessária

Uma vulnerabilidade crítica de SQL injection, classificada com CVSS 10.0, foi detectada e já está sendo ativamente explorada em ataques contra instâncias Metabase self-hosted. Esta falha de dia zero permite que um atacante não autenticado obtenha acesso administrativo completo, abrindo as portas para roubo de credenciais, configuração indevida de aplicações e, crucialmente, exfiltração de dados sensíveis de bases de dados conectadas. Empresas como Framework e Tally já confirmaram que foram afetadas, resultando no vazamento de informações de clientes, incluindo nomes, e-mails e endereços IP.

A Metabase agiu rápido para proteger seus clientes da nuvem, mas usuários de instalações self-hosted devem atualizar imediatamente para as versões corrigidas (0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5). Como medida paliativa, caso a atualização imediata não seja possível, a empresa recomenda bloquear o acesso ao endpoint '/api/session/reset_password/'. Além disso, é essencial que administradores revoguem todas as sessões ativas, girem as credenciais de bancos de dados conectados e inspecionem logs para sinais de comprometimento, como um POST com status 400 seguido por um GET bem-sucedido em '/api/user/current'.

Esta nova exploração de SQL Injection no Metabase reforça um padrão preocupante de vulnerabilidades críticas. O CEVIU News já havia noticiado falhas similares, como a injeção de SQL crítica no FortiClientEMS em 11 de fevereiro de 2026, ou o bypass de autenticação no Dgraph em 8 de abril de 2026. O que muda, ou melhor, o que se consolida, é a constância com que ataques de injeção de SQL e bypass de autenticação continuam sendo vetores primários para acesso não autorizado, mesmo em sistemas amplamente utilizados e com foco em dados. Isso sublinha a necessidade contínua de auditorias rigorosas e processos de atualização ágeis por parte das empresas que operam essas ferramentas em seus próprios ambientes.

A exploração de uma vulnerabilidade zero-day com CVSS 10.0 é um cenário de risco máximo para qualquer organização. Para as empresas que utilizam Metabase self-hosted, a negligência em aplicar as correções pode levar a perdas financeiras significativas, danos irreparáveis à reputação e problemas legais devido ao vazamento de dados de clientes, como já ocorreu com Framework e Tally. A urgência da atualização não é apenas técnica, é estratégica: proteger dados é proteger o negócio. Esta situação demonstra como a segurança da informação deve ser uma prioridade contínua, não um evento esporádico.