【漏洞预警】Metabase 爆严重漏洞，未认证 SQL 注入可接管管理员（CVE-2026-72898）

Metabase 未认证 SQL 注入经 /api/session/reset_password 写入应用库，可导致管理员接管（CVE-2026-72898 / GHSA-vwf4-m7j8-wcjf，CVSS Critical 10.0）。已列入 CISA KEV（dueDate 2026-08-14，已过期），且有在野利用通报。请升到官方修复线，例如 metabase/metabase:v0.63.5（及各分支对应标签）。升级后清空 core_session、审查 API key/管理员并轮换连接库凭据。