/* Tooltip de glosario — CSS-only */
.g {
position: relative;
border-bottom: 1px dotted #0e7c86;
cursor: help;
color: inherit;
text-decoration: none;
}
.g .tip {
visibility: hidden;
opacity: 0;
position: absolute;
bottom: 125%;
left: 50%;
transform: translateX(-50%);
background: #0a1929;
color: #fff;
padding: 8px 12px;
border-radius: 6px;
font-size: 0.85em;
line-height: 1.4;
width: max-content;
max-width: 320px;
z-index: 100;
box-shadow: 0 4px 12px rgba(0,0,0,0.3);
transition: opacity 0.2s ease, visibility 0.2s ease;
pointer-events: none;
}
.g .tip::after {
content: «»;
position: absolute;
top: 100%;
left: 50%;
transform: translateX(-50%);
border-width: 6px;
border-style: solid;
border-color: #0a1929 transparent transparent transparent;
}
.g:hover .tip,
.g:focus .tip {
visibility: visible;
opacity: 1;
}
/* Tarjeta ejecutiva */
.tarjeta-ejecutiva {
background: #f8f9fa;
border-left: 4px solid #0e7c86;
padding: 20px 24px;
margin: 24px 0;
font-size: 0.95em;
}
/* Tablas editoriales */
table {
width: 100%;
border-collapse: collapse;
margin: 16px 0;
font-size: 0.93em;
}
thead th {
background: #0e7c86;
color: #fff;
padding: 10px 14px;
text-align: left;
font-weight: 600;
}
tbody td {
padding: 8px 14px;
border-bottom: 1px solid #e5e7eb;
}
tbody tr:nth-child(even) {
background: #f9fafb;
}
code, .mono {
font-family: ‘IBM Plex Mono’, monospace;
font-size: 0.9em;
background: #f1f3f5;
padding: 1px 4px;
border-radius: 3px;
}
/* Separador Nivel 2 */
.lab-separator {
border: none;
border-top: 3px solid #0e7c86;
margin: 48px 0 32px;
}
/* Checklist de recomendaciones */
.recomendaciones li {
list-style: none;
padding-left: 28px;
position: relative;
margin-bottom: 8px;
}
.recomendaciones li::before {
content: «☐»;
position: absolute;
left: 0;
color: #0e7c86;
font-weight: bold;
}
/* Severidad badges */
.sev-critica { color: #c92a2a; font-weight: 700; }
.sev-alta { color: #e67700; font-weight: 700; }
.sev-media { color: #d9a012; font-weight: 700; }
.sev-baja { color: #2b8a3e; font-weight: 700; }
.sev-informativa { color: #1864ab; font-weight: 700; }
/* Footer de IA */
.ai-footer {
margin-top: 40px;
padding-top: 16px;
border-top: 1px solid #e5e7eb;
font-size: 0.85em;
color: #6b7280;
font-style: italic;
}
/* FAQ */
.faq dt {
font-weight: 600;
color: #0a1929;
margin-top: 16px;
}
.faq dd {
margin-left: 0;
margin-bottom: 12px;
color: #374151;
}
/* Línea de tiempo */
.timeline-entry {
display: flex;
gap: 16px;
margin-bottom: 12px;
}
.timeline-date {
min-width: 100px;
font-weight: 600;
color: #0e7c86;
flex-shrink: 0;
}
Metabase confirma explotación activa de falla crítica sin parche CVE
Vulnerabilidad con puntaje CVSS 10.0 permite inyección SQL y escalada a administrador sin autenticación en plataforma de BI
Categoría: vulnerabilidades · Nivel técnico: Intermedio · Severidad: Crítica
Confirmación oficial de explotación activa
Metabase emitió una advertencia sobre una vulnerabilidad de severidad máxima en su plataforma de inteligencia empresarial que está siendo explotada activamente como zero-day. La falla, con puntuación CVSS 10.0, no tiene asignado identificador CVE al momento de la divulgación. Un atacante remoto no autenticado puede inyectar SQL arbitrario en la base de datos de la aplicación, lo que permite obtener acceso de administrador sin credenciales.
Exposición en organizaciones latinoamericanas
Metabase es utilizado por empresas de análisis de datos, fintech y comercio electrónico en Argentina, Brasil, México y Chile para visualización de métricas empresariales. La ausencia de autenticación requerida para la explotación amplifica el riesgo en instancias expuestas a internet. Organizaciones que ejecutan versiones vulnerables enfrentan compromiso total de sus bases de datos analíticas y potencial movimiento lateral hacia sistemas de producción.
Acciones inmediatas requeridas
- Verificar versión instalada de Metabase y consultar comunicado oficial del fabricante para parche disponible
- Restringir acceso a instancias de Metabase mediante VPN o listas blancas de IP hasta aplicar corrección
- Auditar logs de acceso en busca de consultas SQL anómalas o creación de usuarios administrativos no autorizados
- Implementar monitoreo de tráfico hacia bases de datos conectadas a Metabase para detectar exfiltración
Implicancias de la explotación sin CVE
La explotación activa antes de la asignación de CVE indica que atacantes identificaron la vulnerabilidad antes que el proceso formal de divulgación. Organizaciones que dependen de feeds de CVE para priorización de parches pueden haber quedado expuestas durante ventana crítica entre descubrimiento y advertencia pública.
