Metabase 64.3 усиливает sandbox и защиту данных в API

Metabase выпустила версию 64.3 для Open Source и Enterprise 27 октября 2026 года. Главная группа изменений связана с тем, какие данные и запросы доступны пользователям с ограниченными правами.

Жёстче проверяются sandbox и скрытые поля

API разрешений теперь отклоняет выдачу доступа к нативным запросам группам, для которых на той же базе действует sandbox. Пользователи sandbox не могут запускать нативный SQL. Дополнительно исправлен сценарий, при котором редактирование сохранённого вопроса, управляющего песочницей данных, позволяло переписать политику строкового доступа и убрать собственный фильтр.

Запросы, которые обращаются к колонкам с признаком «Не включать» (чувствительные данные), теперь отклоняются. Это распространяет ограничение на вручную сформированные запросы MBQL, а не только на элементы, доступные в интерфейсе конструктора.

Меньше внутренних данных в ответах

При отказе в доступе API больше не должен возвращать внутренние сведения, включая приватные определения запросов карточек. Из ответов на запросы также убран скомпилированный SQL для пользователей без права на нативные запросы, а обычные сообщения об ошибках больше не включают такие внутренние данные.

В MCP усилено разделение областей доступа: OAuth-токены MCP больше не подходят для REST-эндпоинтов, а каталог полей использует отдельное право чтения содержимого. Это изменение важно для интеграций, которые полагались на более широкое действие токена.

Что изменилось для администраторов

В настройках обновлений и Security Center появились предупреждения, если установленная версия Metabase уже не поддерживается или скоро достигнет конца поддержки. Для сводных таблиц введён предел в 4096 комбинаций группировок, чтобы запросы с большим числом разрезов не расходовали чрезмерный объём памяти.

Перед обновлением проект рекомендует сделать резервную копию application database. Версия доступна как образы Open Source v0.64.3.x и Enterprise v1.64.3.x, а также в виде JAR-файлов.