澳新数学教育平台Mathspace泄露107.98万用户：Metabase CVSS 10.0漏洞补丁延迟23天，CISA已列KEV

漏洞为CVE-2026-72898，是Metabase密码重置端点的一处预认证SQL注入，CVSS评分10.0（满分），无需账号即可利用。Metabase公告称已确认存在在野利用：攻击者可操控请求向应用数据库注入SQL，插入与初始设置时创建的管理员账号关联的会话，从而伪造身份获得认证访问，进而浏览数据并创建API密钥用于批量下载。CISA于8月11日将其列入KEV目录，要求联邦机构8月14日前完成修补。

时间线是本次事件最具警示性的部分：8月6日Metabase发布公告与补丁；8月10日攻击者首次未授权访问Mathspace系统；8月11日CISA列入KEV；8月12日起Metabase发布加固版本；8月27日澳大利亚报表数据库被下载；8月29日Mathspace才完成更新；9月3日通过回溯历史日志确认泄露；9月4日起通知学校、教育部门与网络安全主管机构。补丁到位比CISA期限晚了15天。

Mathspace对自身失环节的描述相当直接：现有漏洞通知流程未能识别并升级该公告以待处理；更新实例时也未完成Metabase针对可能受影响系统建议的额外入侵检查。公司表示正在调查为何初始公告未被升级、为何检查未更早完成，并将两项流程都纳入整改。这种“补丁已在队列但未被优先处理”的情形，比零日本身更为常见。

泄露字段包括用户ID、用户名、姓名、邮箱地址、国家、时区、用户类型、邮箱验证状态，以及账户创建、最后登录与最后活跃日期。公司称密码与哈希、认证令牌、SSO凭据、API凭据、学业记录、学习活动与评估结果均未泄露，数据也未直接关联账户与学校，但承认“对于邮箱域名可识别的学校，这种关联可能是可能的”。

该事件属于近一个月来Metabase相关入侵潮的一部分。此前Trezor披露其物流供应商ShipMonk被入侵致客户数据泄露，受影响人数从近1.4万升至8.1万；Framework与Tally等公司也披露了类似事件，ShinyHunters宣称负责。对运行自托管Metabase并暴露于互联网的组织，专家建议升级后仍须执行撤销活动会话、审查管理员账号、移除异常API密钥、轮换连接数据库凭据并检查查询历史等事后核查。