CVE-2026-76083
Beschrijving NL
Redash is een pakket voor datavisualisatie en -deling. Van 10.0.0 tot 26.9.0 gebruikte de JSON-gegevensbronqueryrunner in redash/query_runner/json_ds.py_get_all_results() om de geconfigureerde base_url te combineren met een door de gebruiker geleverde query-URL met behulp van urljoin. Een absolute query-URL verving de geconfigureerde basis-URL in plaats van eronder te blijven, waardoor een gebruiker met execute_query-machtiging een server-side verzoek naar een willekeurige externe bron kan leiden. Toen http Basic Auth werd geconfigureerd voor de gegevensbron, stuurde het verzoek die inloggegevens ook door naar de geselecteerde bron. Toegang tot privé- en interne adressen bleef beperkt toen REDASH_Force_PRIVATE_IP_BLOCK werd ingeschakeld. Dit probleem is opgelost in versie 26.9.0.
Origineel (Engels) tonen
Redash is a package for data visualization and sharing. From 10.0.0 until 26.9.0, the JSON data source query runner in redash/query_runner/json_ds.py used _get_all_results() to combine its configured base_url with a user-supplied query URL by using urljoin. An absolute query URL replaced the configured base URL instead of remaining under it, allowing a user with execute_query permission to direct a server-side request to an arbitrary external origin. When HTTP Basic Auth was configured for the data source, the request also forwarded those credentials to the selected origin. Private and internal address access remained constrained when REDASH_ENFORCE_PRIVATE_IP_BLOCK was enabled. This issue is fixed in version 26.9.0.