Metabase'de azami puanlı (CVSS 10.0) SQL enjeksiyon zero-day'i sahada istismar ediliyor
Açık kaynaklı BI/analitik aracı Metabase'in parola sıfırlama uç noktasında, kimlik doğrulaması gerektirmeyen bir saldırganın rastgele SQL enjekte edebilmesine imkân tanıyan azami puanlı (CVSS 10.0) bir açık zero-day olarak sahada istismar edildi. Açık, saldırgana uygulama veritabanına yönetici erişimi kazandırıyor; bilinen kurbanlar arasında PC üreticisi Framework ve otomasyon platformu n8n bulunuyor.
Açık kaynaklı iş zekâsı ve analitik aracı Metabase’in /api/session/reset_password uç noktasında bulunan, azami puanlı (CVSS 10.0) bir güvenlik açığının zero-day olarak sahada istismar edildiği tespit edildi. CVE-2026-72898 olarak takip edilen açık, kimlik doğrulaması gerektirmeyen bir saldırganın uygulamaya rastgele SQL komutları enjekte edebilmesine imkân tanıyor.
Açığın etkisi
Açık, saldırgana Metabase’in uygulama veritabanına yönetici düzeyinde erişim kazandırıyor. Bu erişimle saldırgan uygulama yapılandırmasını değiştirebiliyor, bağlı veritabanlarının kimlik bilgilerini çalabiliyor ve erişilebilen tüm veriyi dışarı aktarabiliyor — yani tek bir açık, Metabase’in bağlı olduğu tüm veri kaynaklarını tehlikeye atabiliyor.
Etkilenen sürümler ve yamalar
Açık, Metabase’in v1.58’den v1.63’e kadar tüm sürüm hatlarını etkiliyor. Her sürüm hattı için ayrı bir yama yayınlandı (örneğin v1.63.3’ten v1.63.5’e) ve Metabase Cloud örnekleri zaten otomatik olarak güncellendi. Kendi altyapısında Metabase barındıran kurumların manuel olarak yükseltme yapması gerekiyor.
Bilinen kurbanlar
Rapor edilen bilinen kurbanlar arasında PC üreticisi Framework, otomasyon platformu şirketi n8n ve Kilo Code sayılıyor. CISA aynı gün açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve federal kurumlara 14 Ağustos 2026 son tarihiyle yama zorunluluğu getirdi.
Neden önemli
Kimlik doğrulaması gerektirmeyen bir parola sıfırlama uç noktasının azami puanlı bir SQL enjeksiyon açığı taşıması ve sahada aktif olarak istismar edilmesi, iş zekâsı/analitik araçlarının da en az üretim veritabanları kadar kritik güvenlik denetimine tabi tutulması gerektiğini gösteriyor. Bilinen kurbanlar arasında tanınmış teknoloji şirketlerinin bulunması, açığın kapsamının ne denli geniş olduğuna işaret ediyor.
CVSS 10.0 puanlı, kimlik doğrulamasız bir SQL enjeksiyon açığının sahada aktif istismarı, iş zekâsı/analitik araçlarının da kritik altyapı bileşeni gibi ele alınması gerektiğini gösteriyor; parola sıfırlama gibi kimlik-doğrulamasız uç noktaların güvenlik testlerinde öncelikli hedef olması gerektiğinin somut bir hatırlatıcısı.
- The Hacker News · 2026-08-11
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.