Metabase 0.44.x < 0.44.7 / 0.45.x < 0.45.4 / 0.46.x0.46.3 < / 1.44.x < 1.44.7 / 1.45.x < 1.45.4 / 1.46.x 1.46.3

critical Nessus Plugin ID 261768

語言:

概要

遠端主機受到一個弱點影響。

說明

遠端主機上安裝的 Metabase 版本受到一個存取控制弱點影響。
若要編輯 SQL 片段Metabase 應要求至少一個群組中的人員具有資料庫的原生查詢編輯權限但受影響的 Metabase 版本並未強制執行此要求。這種強制執行的缺失意味著：任何人 (包括沙箱群組中的人員) 都可以編輯 SQL 程式碼片段。當編輯基於 SQL 問題的模型中繼資料時他們可透過 API 或 (在應用程式 UI 中) 編輯片段而且沙箱化群組中的使用者可編輯用於建立其沙箱的查詢的 SQL 片段。如果片段包含限制此人可以查看哪些資料的邏輯他們可能編輯該片段並變更其資料存取層級。無法升級的使用者應確認用於建立沙箱的 SQL 查詢將 SQL 程式碼片段排除在外。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。