CVE-2026-42093
Beschrijving NL
Redash is een pakket voor datavisualisatie en -deling. Van versies na 8.0.0 tot 26.9.0 accepteert de Query Results query runner in redash/query_runner/query_results.py param_query_N_{key=value} -parameters en geeft aanvallergestuurde waarden door om_query_parameters() te vervangen voor ruwe substitutie in de SQL van een query waarnaar wordt verwezen. Dit pad omzeilde de validatie van het ParameterizedQuery-schema dat werd gebruikt bij de normale uitvoering van query's en liet de controle van de is_safe-machtiging weg. Een geverifieerde gebruiker met ten minste alleen-lezen toegang tot zowel de gegevensbron Query Results als de gegevensbron waarnaar wordt verwezen, kan daarom SQL via tekstparameters injecteren en uitvoeren met de privileges van de gegevensbron waarnaar wordt verwezen. Dit probleem is opgelost in versie 26.9.0.
Origineel (Engels) tonen
Redash is a package for data visualization and sharing. From versions after 8.0.0 until 26.9.0, the Query Results query runner in redash/query_runner/query_results.py accepts param_query_N_{key=value} parameters and passed attacker-controlled values to replace_query_parameters() for raw substitution into a referenced query's SQL. This path bypassed the ParameterizedQuery schema validation used by normal query execution and omitted the is_safe permission check. An authenticated user with at least view-only access to both the Query Results data source and the referenced data source could therefore inject SQL through text parameters and execute it with the referenced data source's privileges. This issue is fixed in version 26.9.0.