Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables) because URLs were not validated prior to being loaded.

Metabase 是一個開放原始碼資料分析平台。在受影響的版本中，發現自訂 GeoJSON 地圖 (`admin->settings->maps->custom maps->add a map`) 支援具有安全性問題，而且可能存在本機檔案包含弱點 (包括環境變數)，原因是載入 URL 之前未執行驗證。

Metabase は、オープンソースのデータ分析プラットフォームです。影響を受けるバージョンでは、カスタム GeoJSON マップ (「 admin->settings->maps->custom maps->add a map」) サポートおよび潜在的なローカルファイルインクルード (環境変数を含む) でセキュリティ問題が見つかりました。これは、ロードされる前に URL が検証されなかったためです。

Metabase 是一个开源数据分析平台。在受影响的版本中，已发现自定义 GeoJSON 地图 (`admin->settings->maps->custom maps->add a map`) 支持和潜在的本地文件包含（包括环境变量）中存在安全问题，这是由于 URL 在加载前并未经过身份验证所致。

A local file inclusion vulnerability exists in Metabase due to a security issue present in GeoJSON map support that leads to a local file inclusion vulnerabiltity. An unauthenticated, remote attacker can exploit this, via a specially crafted HTTP GET request, to download arbitrary files with root privileges and examine environment variables.

GeoJSON マップサポートに存在するセキュリティの問題により、ローカルファイルインクルードの脆弱性につながるローカルファイルインクルードの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された HTTP GET リクエストを介して、root 権限で任意のファイルをダウンロードして環境変数を調べる可能性があります。

由於 GeoJSON 地圖支援中有一個安全性問題可導致本機檔案包含弱點，因此 Metabase 中存在本機檔案包含弱點。未經驗證的遠端攻擊者可利用此弱點，透過特製的 HTTP GET 要求，使用 Root 權限下載任意檔案並檢查環境變數。

由于 GeoJSON 地图支持中存在可导致本地文件包含漏洞的安全问题，因此 Metabase 存在本地文件包含漏洞。未经身份验证的远程攻击者可以利用此漏洞，通过特别构建的 HTTP GET 请求使用根特权下载任意文件，并检查环境变量。

ID	Name	Product	Family	Published	Updated	Severity
113073	Metabase GeoJSON Local File Inclusion	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON 本機檔案包含	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON のローカルファイルインクルード	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON 本地文件包含	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	7/17/2024	high
163589	メタベース LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	7/17/2024	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	7/17/2024	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	7/17/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high