CVE-2026-77371
Beschrijving NL
Redash is een pakket voor datavisualisatie en -deling. Van 26.0.0 tot 26.9.0 heeft het DuckDB query runner's _connect() -pad in redash/query_runner/duckdb.py verbindingen gemaakt met enable_external_access op de standaardwaarde true. Een gebruiker met query-toegang tot een door de beheerder gemaakte DuckDB-gegevensbron kan native bestandsleesfuncties gebruiken om bestanden op te halen die leesbaar zijn door het Redash-proces of COPY TO gebruiken om bestanden te schrijven met de privileges van dat proces. Het lezen van toepassingsgeheimen zoals REDASH_COOKIE_SECRET of REDASH_SECRET_KEY kan ook vervalste sessies en authenticatie-bypass mogelijk maken. Dit probleem is opgelost in versie 26.9.0.
Origineel (Engels) tonen
Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created DuckDB data source could use native file-reading functions to retrieve files readable by the Redash process or use COPY TO to write files with that process's privileges. Reading application secrets such as REDASH_COOKIE_SECRET or REDASH_SECRET_KEY could also enable forged sessions and authentication bypass. This issue is fixed in version 26.9.0.