Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables) because URLs were not validated prior to being loaded.

Metabase 是一個開放原始碼資料分析平台。在受影響的版本中，發現自訂 GeoJSON 地圖 (`admin->settings->maps->custom maps->add a map`) 支援具有安全性問題，而且可能存在本機檔案包含弱點 (包括環境變數)，原因是載入 URL 之前未執行驗證。

Metabase は、オープンソースのデータ分析プラットフォームです。影響を受けるバージョンでは、カスタム GeoJSON マップ (「 admin->settings->maps->custom maps->add a map」) サポートおよび潜在的なローカルファイルインクルード (環境変数を含む) でセキュリティ問題が見つかりました。これは、ロードされる前に URL が検証されなかったためです。

Metabase 是一个开源数据分析平台。在受影响的版本中，已发现自定义 GeoJSON 地图 (`admin->settings->maps->custom maps->add a map`) 支持和潜在的本地文件包含（包括环境变量）中存在安全问题，这是由于 URL 在加载前并未经过身份验证所致。

The version of Metabase installed on the remote host is prior to 1.40.5. It is, therefore, affected by a local file inclusion vulnerability.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

A local file inclusion vulnerability exists in Metabase due to a security issue present in GeoJSON map support that leads to a local file inclusion vulnerabiltity. An unauthenticated, remote attacker can exploit this, via a specially crafted HTTP GET request, to download arbitrary files with root privileges and examine environment variables.

リモートホストにインストールされている Metabase のバージョンは、 1.40.5より前の です。したがって、ローカルファイル組み込みの脆弱性の影響を受けます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

GeoJSON マップサポートに存在するセキュリティの問題により、ローカルファイルインクルードの脆弱性につながるローカルファイルインクルードの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された HTTP GET リクエストを介して、root 権限で任意のファイルをダウンロードして環境変数を調べる可能性があります。

远程主机上安装的 Metabase 版本低于 1.40.5。因而受到本地文件包含漏洞的影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

由于 GeoJSON 地图支持中存在可导致本地文件包含漏洞的安全问题，因此 Metabase 存在本地文件包含漏洞。未经身份验证的远程攻击者可以利用此漏洞，通过特别构建的 HTTP GET 请求使用根特权下载任意文件，并检查环境变量。

遠端主機上安裝的 Metabase 版本比 1.40.5舊。因此會受到一個本機檔案包含弱點影響。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

由於 GeoJSON 地圖支援中有一個安全性問題可導致本機檔案包含弱點，因此 Metabase 中存在本機檔案包含弱點。未經驗證的遠端攻擊者可利用此弱點，透過特製的 HTTP GET 要求，使用 Root 權限下載任意檔案並檢查環境變數。

ID	Name	Product	Family	Published	Updated	Severity
113073	Metabase GeoJSON Local File Inclusion	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON 本機檔案包含	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON のローカルファイルインクルード	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
113073	Metabase GeoJSON 本地文件包含	Web App Scanning	Component Vulnerability	12/8/2021	12/8/2021	high
261765	Metabase < 1.40.5	Nessus	CGI abuses	9/9/2025	9/10/2025	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	10/16/2025	high
261765	メタベース 1.40.5	Nessus	CGI abuses	9/9/2025	9/10/2025	high
163589	メタベース LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	10/16/2025	high
261765	元数据库 1.40.5	Nessus	CGI abuses	9/9/2025	9/10/2025	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	10/16/2025	high
261765	Metabase 1.40.5	Nessus	CGI abuses	9/9/2025	9/10/2025	high
163589	Metabase LFI (CVE-2021-41277)	Nessus	Web Servers	7/29/2022	10/16/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high