本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-72898
涉及镜像： metabase/metabase — 轩辕镜像 · Docker Hub
CVSS： 10.0（Critical）
披露时间： CISA KEV dateAdded 2026-08-11；本档为漏报补报
相关公告： Metabase 安全更新 · GHSA-vwf4-m7j8-wcjf · NVD CVE-2026-72898 · CISA KEV
一、漏洞概述
未认证 SQL 注入经 /api/session/reset_password 写入应用库，可导致管理员接管。攻击者可改配置、窃取已存数据源凭据、读写 / 导出连接数据。CVSS 为 Critical 10.0。新加坡 CSA AL-2026-158 再确认在野利用。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Metabase、GHSA、NVD） |
| 官方补丁 | 官方修复线，例如 v0.58.24 / v0.59.21 / v0.60.17 / v0.61.11 / v0.62.9 / v0.63.5（及对应 enterprise metabase/metabase-enterprise:v1.x.y） |
| 镜像标签 | Hub 已核实 v0.63.5、v0.62.9 等 |
| CISA KEV | 已列入（dateAdded 2026-08-11，dueDate 2026-08-14，已过期） |
三、影响范围
公网可达且未打补丁的 Metabase（含官方 Docker）。endpoint 曾对外暴露的实例，即使已升级也应按下方步骤做事后清理。
四、修复建议
升到所在分支的官方修复标签。当前主线可固定：
bashdocker pull docker.xuanyuan.run/metabase/metabase:v0.63.5
其他维护线示例：v0.62.9、v0.61.11、v0.60.17、v0.59.21、v0.58.24。Enterprise 用对应的 metabase/metabase-enterprise:v1.x.y。
若该 endpoint 曾公网可达，升级后还应：清空 core_session、审查 API key 与管理员账号，并轮换连接库凭据。
Docker Hub： metabase/metabase
轩辕镜像： metabase/metabase
五、临时缓解措施
在升级之前，可在反代上拦截 /api/session/reset_password。这不能代替官方修复版本，也不能代替升级后的会话清理与凭据轮换。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Metabase 的版本修复。请固定所在分支的修复标签（例如 v0.63.5）。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- Metabase：安全更新
- GitHub：GHSA-vwf4-m7j8-wcjf
- NVD：CVE-2026-72898
- CISA：Known Exploited Vulnerabilities Catalog
- CSA：AL-2026-158
- Docker Hub：metabase/metabase
- 轩辕站内镜像页：metabase/metabase
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。