Metabase 是一个开源数据分析平台。在受影响的版本中，已发现自定义 GeoJSON 地图 (`admin->settings->maps->custom maps->add a map`) 支持和潜在的本地文件包含（包括环境变量）中存在安全问题，这是由于 URL 在加载前并未经过身份验证所致。

由于 GeoJSON 地图支持中存在可导致本地文件包含漏洞的安全问题，因此 Metabase 存在本地文件包含漏洞。未经身份验证的远程攻击者可以利用此漏洞，通过特别构建的 HTTP GET 请求使用根特权下载任意文件，并检查环境变量。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113073	Metabase GeoJSON 本地文件包含	Web App Scanning	Component Vulnerability	2021/12/8	2021/12/8	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	2022/7/29	2024/5/20	high

检测

插件搜索

high

high