WP Manifestindependent plugin directory
manifest / analytics / metabase-embed-wp

Metabase Embed WP Registry grade B. Medium-severity findings · 1 findingWP RegistryMedium-severity findings · 1 findingOpen the reportB

Plugin Wordpress para incorporar o Metabase

★ 0stars
38release downloads
v1.0.6latest · 2mo ago

Install

Download metabase-embed-1.0.6.zip From the v1.0.6 release on GitHub, Aug 29, 2026

Upload it under Plugins → Add New Plugin → Upload Plugin, then activate.

Install straight from GitHub with WP-CLI:

wp plugin install https://github.com/francoisjun/metabase-embed-wp/releases/download/v1.0.6/metabase-embed-1.0.6.zip
No built-in updater. New versions won't appear under Dashboard → Updates. Install new releases yourself, or let Git Updater track the repository.

Plugin Wordpress para incorporar o Metabase

Instalação

Baixe a versão mais recente em github.com/francoisjun/metabase-embed-wp/releases/

Na área administrativa do Wordpress, acesse a página de plugins.

Clique no botão Adicionar novo ao lado do título da página:

Novo Plugin

Clique no botão Enviar plugin ao lado do título da página. Em seguida, escolha o arquivo baixado no primeiro passo. Por fim, clique no botão Instalar agora.

Enviar Plugin

Não esqueça de ativar o plugin após a instalação.

Configuração

Após a ativação do plugin, será adicionado um submenu ao menu de Plugins:

Menu de Plugins

Ao acessar esse submenu, configure o plugin com a URL do servidor do Metabase bem como a chave secreta (secret key) de compartilhamento:

Tela de configurações do Metabase Embed

Uso

Em um post ou página do Wordpress, adicione a shortcode [metabase-embed <parametros>] onde deseja que seja exibido o Dashboard.

Os parâmetros disponíveis são:

  • id: número do dashboad a ser exibido (default: 1).
  • border: exibe ou não uma borda ao redor do dashboard (default: true).
  • title: exibe ou não o título do dashboard (default: true).
  • theme: tema do dashboard (default: white). Valores possíveis: night, transparent.
  • filter: filtros a serem passados pela URL no padrão chave=valor (default: null). Separe os filtros com o caracter &.
  • width: largura em pixels do dashboard (default: 100%).
  • height: altura em pixels do dashboard (default: 600).

Exemplo

Básico:

[metabase-embed id=1]

Completo:

[metabase-embed id=2 width=800 height=400 border=false title=true theme=night filter="city=Florence&state=CD"]

Edição de página no Wordpress

Página do Wordpress

Desenvolvimento

Esse plugin faz uso em tempo de execução do pacote firebase/php-jwt para gerar o token de acesso. O arquivo de instalação do plugin já tem os pacotes incluídos.

Para testar o plugin em sem ambiente de desenvolvimento você precisará instalar os pacotes via composer.

Rode o comando composer install no diretório raíz do projeto para instalar as dependências.

Releases

7 releases. Each count is every asset in that release; expand a row for the breakdown.

Tag
Published
Assets
Downloads
v1.0.6 latest
Aug 29, 2026 2mo ago
metabase-embed-1.0.6.zip
2
Jul 9, 2024 2 years ago
metabase-embed.zip
11
Jul 9, 2024 2 years ago
metabase-embed.zip
3
Jun 27, 2024 2 years ago
metabase-embed.zip
4
Jun 26, 2024 2 years ago
metabase-embed.zip
3
Jun 6, 2024 2 years ago
metabase-embed.zip
5
Mar 16, 2023 3 years ago
metabase-embed.zip
10
B grade

Security

Metabase Embed 1.0.6 · audited by WP Registry

Medium-severity findings.

1 medium
Audited release
1.0.6
Findings
1
Worst severity
medium
Content hash
1312482a3486b2a8437dd757…

Findings

  • medium Shortcode acts as a signing oracle for arbitrary Metabase dashboards

    information_disclosure

    metabase_embed_shortcode() signs {resource:{dashboard:intval($atts['id'])}} with the stored metabase_secret_key for whatever id the post author supplies, with no allow-list of dashboards and no capability check. Any user who can preview posts with shortcodes (Contributor+) can obtain valid embed tokens for every dashboard that has embedding enabled in Metabase, and since params is empty no locked parameters restrict the data shown.

    metabase-embed.php:192-238

    Recommendation

    Add an admin-configured allow-list of dashboard IDs (and optionally locked params per dashboard), and/or only honour the shortcode in posts authored by users with a dedicated capability (e.g. check author_can($post, 'manage_options')).

WP Registry hashes the installable build and reports on that exact bytes-for-bytes copy. Embargoed findings are withheld until they are disclosed, so a clean verdict means nothing public is outstanding. WP Manifest does not audit code itself.