Exploitation zero-day SQLi critique dans Metabase : Framework, Tally et LexisNexis compromis

🗓️ Contexte

Source : BleepingComputer, publié le 7 août 2026. Metabase, éditeur d’une plateforme d’analytique disponible en SaaS (Metabase Cloud) et en auto-hébergement, a divulgué l’exploitation active d’une vulnérabilité zero-day affectant ses versions 1.58 et supérieures.

🔥 Vulnérabilité exploitée

• Type : Injection SQL non authentifiée (SQLi)
• Sévérité : Critique, CVSS 10.0
• Versions affectées : 1.58 et supérieures (branches 0.58 à 0.63)
• Aucun CVE attribué à la date de publication
• L’exploitation permet à un attaquant distant non authentifié d’injecter du SQL arbitraire, d’obtenir un accès administrateur, de modifier la configuration, de voler des identifiants des bases connectées, de lire et d’exporter des données
• Endpoint exploité : POST /api/session/reset_password (retour 400) suivi d’un GET /api/user/current réussi

🏢 Victimes confirmées

Framework (fabricant de laptops) :

• Notifié par Metabase le 6 août que son instance avait été compromise le 3 août
• Données volées : noms complets, adresses e-mail, adresses IP de connexion, adresses de facturation/livraison, numéros de téléphone, noms d’entreprise
• Pour les clients Framework for Business : numéro de TVA, EIN, e-mail de facturation également exposés

Tally (constructeur de formulaires en ligne) :

• Instance Metabase compromise le 3 août
• Données exposées : adresses e-mail et hachages cryptographiques de mots de passe
• Formulaires et réponses non affectés (stockés séparément)
• L’algorithme de hachage et le salage n’ont pas été précisés

LexisNexis :

• Alerte clients d’une cyberattaque via un prestataire tiers
• L’API Metabase de LexisNexis impactée, entraînant une indisponibilité des services Diligence, Metabase API et Newsdesk
• Enquête forensique en cours ; exposition de données clients non confirmée

🛡️ Réponse de Metabase

• Blocage des endpoints exploités et déploiement immédiat d’un correctif
• Clients Cloud : déjà patchés automatiquement
• Auto-hébergés : mise à jour manuelle requise vers les versions minimales sûres : 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5
• Mesure de contournement temporaire : bloquer l’accès à /api/session/reset_password

📌 Type d’article

Article de presse spécialisée relatant des incidents de sécurité actifs liés à une vulnérabilité zero-day, avec divulgation de victimes et détails techniques d’exploitation.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1555 — Credentials from Password Stores (Credential Access)
• T1005 — Data from Local System (Collection)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• URLs : /api/session/reset_password — URLhaus
• URLs : /api/user/current — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 56/100 (moyenne)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 5508 chars — texte complet (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ 0/2 IOCs confirmés externellement (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/framework-tally-disclose-metabase-data-theft-attacks/

🖴 Archive : https://web.archive.org/web/20260810072231/https://www.bleepingcomputer.com/news/security/framework-tally-disclose-metabase-data-theft-attacks/