远程主机上安装的 Metabase 版本受到多种漏洞的影响   
    - 信息泄露后，未经授权的行为者将敏感信息泄露。沙盒用户不应在 Metabase 应用程序中的任何位置查看有关其他 Metabase 用户的数据。但是，当沙盒用户查看仪表盘订阅的设置时，如果其他用户已将用户添加到该订阅，则沙盒用户将能够查看该订阅的收件人列表。 (CVE-2023-23628)

    - 存在一个访问控制风险表现为具有更高数据访问权限的人员可以创建仪表盘订阅、添加具有较少数据权限的人员并且该订阅的所有收件人都会收到相同的数据。电子邮件中显示的图表将遵守创建订阅的用户的权限。问题是可查看仪表盘的权限较低的用户可能会将自己添加到由具有其他数据权限的人创建的仪表盘订阅中从而通过电子邮件访问更多数据。 (CVE-2023-23629)

  请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

配置数据库 0.43.x < 0.43.7.1 / 0.44.x < 0.44.6.1 / 0.45.x < 0.45.2.1 / 1.43.x < 1.43.7.1 / 1.44.x < 1.44.6.1 / 1.45.x 1.45.2.1

medium Nessus 插件 ID 261773

版本 1.1