메타베이스 SQLi 취약점, 공격자에게 완전 접근 권한 부여
메타베이스가 치명적 SQL 인젝션 제로데이 취약점(CVE-2026-72898, CVSS 10)을 공개했다. 공격자는 데이터베이스에 완전 접근해 자격증명 탈취, 관리자 계정 생성, 데이터 변조 등이 가능하다. 클라우드 고객은 패치됐으나 자체 호스팅 인스턴스 25%가 인터넷에 노출된 상태로, 다수 스타트업이 피해를 입었다.
비즈니스 인텔리전스(BI) 플랫폼 제공업체 메타베이스가 제로데이 SQL 인젝션 취약점을 공개했다. 고객의 민감한 자격증명, 토큰, API 키 등 데이터가 노출됐을 수 있다고 경고했다. 8월 6일 공개된 메타베이스 취약점(CVE-2026-72898)은 심각도 10점 만점의 치명적 취약점으로 평가됐다. 해당 취약점은 버전 1.58 이상에서 존재한다. SQL 인젝션은 오랜 취약점 유형이며 현재 작동하는 개념증명 익스플로잇 코드가 존재한다.
메타베이스는 오픈소스 BI 도구로, 고객이 Databricks, MongoDB, Oracle, Snowflake, Amazon, BigQuery 등 다양한 데이터베이스에 연결해 분석, 쿼리, 데이터 시각화, 대시보드 구축 등을 수행할 수 있다. 검색엔진 Shodan은 약 2,500개의 메타베이스 인스턴스를 추적했으며, 보안 기업 Wiz는 클라우드 환경의 약 13%가 자체 호스팅 메타베이스를 배포했으며 그중 25%가 인터넷에 완전히 노출된 상태라고 보고했다.
메타베이스에 따르면 위협 행위자가 플랫폼의 제로데이 SQL 인젝션 취약점을 이용해 접근했다. 진입점은 /api/session/reset_password이다. 메타베이스는 공격을 발견한 즉시 익스플로잇된 엔드포인트를 차단하고 취약점을 패치했으며 관련 세션을 종료하고 사용된 자격증명을 철회했다. 메타베이스 클라우드 고객은 이미 업그레이드와 패치가 완료됐으나 자체 호스팅 고객은 패치하지 않으면 여전히 취약할 수 있다.
이 취약점은 공격자에게 메타베이스 데이터베이스에 대한 완전하고 제한 없는 SQL 접근 권한을 허용한다. 연결된 데이터베이스의 계정 자격증명을 탈취하거나 변경하고, 새로운 관리자 계정을 생성하며, 애플리케이션 설정을 바꾸고, 권한을 상승시키거나 정보를 훼손·변경·파괴할 수 있다. 또한 메타베이스를 OEM 버전으로 사용하는 플랫폼에도 영향을 미칠 수 있어 사용자가 메타베이스가 포함된 사실을 모를 수도 있다.
현재까지 피해를 입은 기업은 대부분 소규모 조직과 스타트업으로, Anaconda에 최근 인수된 Kilo Code, Y Combinator 지원을 받은 Tally, PC 제조사 Framework, 워크플로 자동화 플랫폼 n8n, AI 테스트 및 모니터링 플랫폼 제공업체 ChecklyHQ 등이 포함된다.