CVE-2026-76083
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Redash (wersje od 10.0.0 do 26.9.0) mechanizm wykonywania zapytań do źródła danych JSON używał urljoin do łączenia skonfigurowanego base_url z adresem URL zapytania podanym przez użytkownika. Bezwzględny adres URL zastępował skonfigurowany base_url, umożliwiając użytkownikowi z uprawnieniem execute_query skierowanie żądania serwerowego do dowolnego zewnętrznego źródła, a przy skonfigurowanym HTTP Basic Auth także przekazanie tych poświadczeń. Problem naprawiono w wersji 26.9.0.
Ocena ryzyka
Użytkownik z uprawnieniem execute_query może wymusić żądania SSRF do dowolnych zewnętrznych adresów i potencjalnie wyciec poświadczenia HTTP Basic Auth źródła danych.
Rekomendacja
Zaktualizuj Redash do wersji 26.9.0 lub nowszej oraz utrzymuj włączone ograniczenie REDASH_ENFORCE_PRIVATE_IP_BLOCK.
Inne podatności w Redash
Zobacz wszystkie- CVE-2026-77371Krytyczne
W Redash od wersji 26.0.0 do 26.9.0 ścieżka _connect() w runnerze zapytań DuckDB w pliku redash/query_runner/duckdb.py tworzyła połączenia z opcją enable_external_access pozostawioną na domyślnej wartości true. Użytkownik z dostępem do zapytań do utworzonego przez administratora źródła danych DuckDB mógł użyć natywnych funkcji odczytu plików, aby odczytać pliki dostępne dla procesu Redash, lub użyć COPY TO, aby zapisać pliki z uprawnieniami tego procesu. Odczytanie sekretów aplikacji, takich jak REDASH_COOKIE_SECRET lub REDASH_SECRET_KEY, mogło również umożliwić fałszowanie sesji i obejście uwierzytelniania.
- CVE-2026-42093Wysokie
Redash to pakiet do wizualizacji i udostępniania danych. W wersjach po 8.0.0 do 26.9.0 moduł Query Results w redash/query_runner/query_results.py przyjmuje parametry param_query_N_{key=value} i przekazuje wartości kontrolowane przez atakującego do replace_query_parameters() w celu surowego podstawienia do SQL zapytania referencyjnego. Ta ścieżka omija walidację schematu ParameterizedQuery używaną przy normalnym wykonywaniu zapytań i pomija sprawdzenie uprawnień is_safe. Uwierzytelniony użytkownik z co najmniej dostępem tylko do odczytu do źródła danych Query Results i źródła referencyjnego może wstrzyknąć SQL poprzez parametry tekstowe i wykonać go z uprawnieniami źródła referencyjnego. Problem naprawiono w wersji 26.9.0.
- CVE-2026-33213Średnie
Podatność w Redash od wersji 5.0.2 do 26.3.0 umożliwia atak typu open redirect. Funkcja get_next_path() nie normalizuje wielokrotnych ukośników w parametrze next, co pozwala na przekierowanie uwierzytelnionego użytkownika na zewnętrzną, złośliwą stronę.
Oryginalny opis (angielski, źródło NVD)
Redash is a package for data visualization and sharing. From 10.0.0 until 26.9.0, the JSON data source query runner in redash/query_runner/json_ds.py used _get_all_results() to combine its configured base_url with a user-supplied query URL by using urljoin. An absolute query URL replaced the configured base URL instead of remaining under it, allowing a user with execute_query permission to direct a server-side request to an arbitrary external origin. When HTTP Basic Auth was configured for the data source, the request also forwarded those credentials to the selected origin. Private and internal address access remained constrained when REDASH_ENFORCE_PRIVATE_IP_BLOCK was enabled. This issue is fixed in version 26.9.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS