CVE-2026-77371 in Redash
Zusammenfassung
von VulDB • 14.10.2026
Redash ist ein Paket zur Datenvisualisierung und -freigabe. Von der Version 26.0.0 bis einschließlich 26.9.0 wurden im DuckDB-Query-Läufer (_connect() Pfad in redash/query_runner/duckdb.py) Verbindungen mit aktiviertem externen Zugriff (enable_external_access auf dem Standardwert true) erstellt. Ein Benutzer mit Abfragezugriff auf eine von einem Administrator erstellte DuckDB-Datenquelle könnte native Dateilesefunktionen nutzen, um Dateien abzurufen, die vom Redash-Prozess lesbar sind, oder COPY TO verwenden, um Dateien mit den Berechtigungen dieses Prozesses zu schreiben. Das Auslesen von Anwendungsschlüsseln wie REDASH_COOKIE_SECRET oder REDASH_SECRET_KEY könnte zudem gefälschte Sitzlungen ermöglichen und eine Umgehung der Authentifizierung erlauben. Dieses Problem wurde in Version 26.9.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.