情報取得日: 2026/07/15／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-50148 |
|---|---|
| 製品 | metabase / Metabase |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-73 外部からのファイルパス制御 |
| 登録／公開日 | 2026/07/15 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-50148 |
BIツール Metabase で、データベース接続を追加・編集できる権限を持つ利用者が、Metabase サーバ上で任意コード実行に到達できる。NVD の記述によれば、攻撃者が用意した Snowflake サーバへの接続を設定すると、Snowflake JDBC ドライバの不具合により Metabase ホストの任意の場所へファイルを書き込める。書き込み先には Metabase 自身のデータベースドライバのファイルも含まれ、それが後に Metabase プロセス内で実行される。NVD 掲載の CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。Scope が Changed（S:C）である点が 10.0 を成立させている。影響を受けるのは 1.54.0 以降で、1.54.24 / 1.55.24 / 1.56.25 / 1.57.19 / 1.58.14 / 1.59.10 / 1.60.4 で修正されている。2026年8月13日時点で CISA KEV カタログには収載されていない（カタログ版 2026.08.11 で確認）。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
Metabase を自分の系列の修正版（1.54.24 / 1.55.24 / 1.56.25 / 1.57.19 / 1.58.14 / 1.59.10 / 1.60.4 以上）へ更新する
AWS のマネージドサービスとしての Metabase 提供はない。ECS / EKS / EC2 で自前運用しているイメージのタグを上げる。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
同上。コンテナイメージを修正版へ更新する
GCP 固有の修正提供はない。Cloud Run / GKE いずれもイメージ側の更新になる。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
同上。コンテナイメージを修正版へ更新する
Azure 固有の修正提供はない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
JAR で運用している場合は修正版の metabase.jar に差し替える
ディストリのパッケージではなく公式配布物または公式コンテナイメージで運用されていることが多い。差し替え後にプラグインディレクトリのドライバファイルも点検する。
参照リンク
|
判定は2つの軸で行う。第一に、稼働中の Metabase のバージョンが 1.54.0 以降で、かつ修正版（1.54.24 / 1.55.24 / 1.56.25 / 1.57.19 / 1.58.14 / 1.59.10 / 1.60.4）より前かどうか。管理画面のトラブルシューティング情報かコンテナのイメージタグで確認する。第二に、**データベース接続を追加・編集できる利用者が誰か**。この脆弱性は接続設定の権限を前提としており、管理者だけがその権限を持つ閉じた環境と、分析チームの多数に接続追加を許している環境とでは、実際の危険度が大きく違う。CVSS の PR:N は Metabase 側の認可の話を反映していないので、ベクタの数字だけで自組織の危険度を決めない。対処は自分の系列の修正版へ上げること。すぐに上げられない場合の緩和として、データベース接続の追加・編集権限を管理者だけに絞り、接続先ホストを既知のものに限定する（外向きの通信をネットワーク側で制限する）方法がある。ただしこれは権限を持つ管理者による悪用や、管理者アカウントの乗っ取りには効かないので暫定にとどめる。侵害の確認は、身に覚えのない Snowflake 接続が追加されていないか、ドライバのファイル（プラグインディレクトリ）の更新日時が想定外に新しくないかを見る。
Critical（CVSS 10.0）に分類されるmetabase Metabaseの脆弱性です。BIツール Metabase で、データベース接続を追加・編集できる権限を持つ利用者が、Metabase サーバ上で任意コード実行に到達できる。NVD の記述によれば、攻撃者が用意した Snowflake サーバへの接続を設定すると、Snowflake JDBC ドライバの不具合により Metabase ホストの任意の場所へファイルを書き込める。書き込み先には Metabase 自身のデータベースドライバのファイルも含まれ、それが後に Metabase プロセス内で実行される。NVD 掲載の CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。Scope が Changed（S:C）である点が 10.0 を成立させている。影響を受けるのは 1.54.0 以降で、1.54.24 / 1.55.24 / 1.56.25 / 1.57.19 / 1.58.14 / 1.59.10 / 1.60.4 で修正されている。2026年8月13日時点で CISA KEV カタログには収載されていない（カタログ版 2026.08.11 で確認）。NVD の vulnStatus は Analyzed。
判定は2つの軸で行う。第一に、稼働中の Metabase のバージョンが 1.54.0 以降で、かつ修正版（1.54.24 / 1.55.24 / 1.56.25 / 1.57.19 / 1.58.14 / 1.59.10 / 1.60.4）より前かどうか。管理画面のトラブルシューティング情報かコンテナのイメージタグで確認する。第二に、**データベース接続を追加・編集できる利用者が誰か**。この脆弱性は接続設定の権限を前提としており、管理者だけがその権限を持つ閉じた環境と、分析チームの多数に接続追加を許している環境とでは、実際の危険度が大きく違う。CVSS の PR:N は Metabase 側の認可の話を反映していないので、ベクタの数字だけで自組織の危険度を決めない。対処は自分の系列の修正版へ上げること。すぐに上げられない場合の緩和として、データベース接続の追加・編集権限を管理者だけに絞り、接続先ホストを既知のものに限定する（外向きの通信をネットワーク側で制限する）方法がある。ただしこれは権限を持つ管理者による悪用や、管理者アカウントの乗っ取りには効かないので暫定にとどめる。侵害の確認は、身に覚えのない Snowflake 接続が追加されていないか、ドライバのファイル（プラグインディレクトリ）の更新日時が想定外に新しくないかを見る。
metabase Metabase を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-50148）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。