配置数据库 0.44.x < 0.44.7 / 0.45.x < 0.45.4 / 0.46.x < 0.46.3 / 1.44.x < 1.44.7 / 1.45.x < 1.45.4 / 1.46.x 1.46.3

critical Nessus 插件 ID 261768

语言：

简介

远程主机受到漏洞影响。

描述

远程主机上安装的 Metabase 版本受到一个访问控制漏洞的影响。
若要编辑 SQL 代码段Metabase 应要求用户属于至少一个对数据库具有本机查询编辑权限的组但受影响的 Metabase 版本不会强制执行该要求。缺少强制执行意味着：任何人包括沙盒群组中的人员都可以编辑 SQL 片段。他们可通过 API 编辑片段或者在应用程序 UI 中根据 SQL 问题编辑模型的元数据时沙盒化群组中的用户可编辑用于创建沙盒的查询中的 SQL 片段。如果代码段中包含限制该人员可查看数据的逻辑，他们可能会编辑该代码段并更改其数据访问权限级别。无法升级的用户应确保用于创建沙盒的 SQL 查询排除 SQL 片段。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。