CVE-2026-42093
WysokieCVSS 8.7Streszczenie
Redash to pakiet do wizualizacji i udostępniania danych. W wersjach po 8.0.0 do 26.9.0 moduł Query Results w redash/query_runner/query_results.py przyjmuje parametry param_query_N_{key=value} i przekazuje wartości kontrolowane przez atakującego do replace_query_parameters() w celu surowego podstawienia do SQL zapytania referencyjnego. Ta ścieżka omija walidację schematu ParameterizedQuery używaną przy normalnym wykonywaniu zapytań i pomija sprawdzenie uprawnień is_safe. Uwierzytelniony użytkownik z co najmniej dostępem tylko do odczytu do źródła danych Query Results i źródła referencyjnego może wstrzyknąć SQL poprzez parametry tekstowe i wykonać go z uprawnieniami źródła referencyjnego. Problem naprawiono w wersji 26.9.0.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może wykonać dowolny SQL z uprawnieniami innego źródła danych, co może prowadzić do wycieku danych, modyfikacji lub zniszczenia danych.
Rekomendacja
Zaktualizuj Redash do wersji 26.9.0 lub nowszej oraz przejrzyj uprawnienia użytkowników do źródeł danych Query Results i powiązanych źródeł.
Inne podatności w Redash
Zobacz wszystkie- CVE-2026-77371Krytyczne
W Redash od wersji 26.0.0 do 26.9.0 ścieżka _connect() w runnerze zapytań DuckDB w pliku redash/query_runner/duckdb.py tworzyła połączenia z opcją enable_external_access pozostawioną na domyślnej wartości true. Użytkownik z dostępem do zapytań do utworzonego przez administratora źródła danych DuckDB mógł użyć natywnych funkcji odczytu plików, aby odczytać pliki dostępne dla procesu Redash, lub użyć COPY TO, aby zapisać pliki z uprawnieniami tego procesu. Odczytanie sekretów aplikacji, takich jak REDASH_COOKIE_SECRET lub REDASH_SECRET_KEY, mogło również umożliwić fałszowanie sesji i obejście uwierzytelniania.
- CVE-2026-33213Średnie
Podatność w Redash od wersji 5.0.2 do 26.3.0 umożliwia atak typu open redirect. Funkcja get_next_path() nie normalizuje wielokrotnych ukośników w parametrze next, co pozwala na przekierowanie uwierzytelnionego użytkownika na zewnętrzną, złośliwą stronę.
Oryginalny opis (angielski, źródło NVD)
Redash is a package for data visualization and sharing. From versions after 8.0.0 until 26.9.0, the Query Results query runner in redash/query_runner/query_results.py accepts param_query_N_{key=value} parameters and passed attacker-controlled values to replace_query_parameters() for raw substitution into a referenced query's SQL. This path bypassed the ParameterizedQuery schema validation used by normal query execution and omitted the is_safe permission check. An authenticated user with at least view-only access to both the Query Results data source and the referenced data source could therefore inject SQL through text parameters and execute it with the referenced data source's privileges. This issue is fixed in version 26.9.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS