CVE-2023-23629 in Metabase
Sumário
de VulDB • 01/07/2026
O Metabase é uma plataforma de análise de dados open source. As versões afetadas estão sujeitas à Gestão Imprópria de Privilégios (Improper Privilege Management). Conforme o esperado, os destinatários das assinaturas de dashboards podem visualizar os dados conforme vistos pelo criador dessa assinatura. Isso permite que alguém com maior acesso aos dados crie uma assinatura de dashboard, adicione pessoas com menos privilégios de dados e todos os destinatários daquela assinatura recebam os mesmos dados: os gráficos mostrados no email respeitariam os privilégios do usuário que criou a assinatura. O problema é que usuários com menos privilégios que podem visualizar um dashboard são capazes de se adicionar a uma assinatura de dashboard criada por alguém com privilégios adicionais de dados, e assim obter acesso a mais dados via email. Este problema foi corrigido nas versões 0.43.7.1, 1.43.7.1, 0.44.6.1, 1.44.6.1, 0.45.2.1 e 1.45.2.1. Em instâncias do Metabase que executam a Edição Enterprise (Enterprise Edition), os administradores podem desativar a permissão "Assinaturas e Alertas" para grupos que têm restrições de acesso aos dados, como uma solução alternativa (workaround).
If you want to get best quality of vulnerability data, you may have to visit VulDB.