CVE-2026-77371 in Redash
Resumen
por VulDB • 2026-10-15
Redash es un paquete para la visualización y el intercambio de datos. Desde la versión 26.0.0 hasta la 26.9.0, la ruta _connect() del ejecutor de consultas DuckDB en redash/query_runner/duckdb.py creaba conexiones con enable_external_access dejado en su valor predeterminado de true (verdadero). Un usuario con acceso a las consultas de una fuente de datos DuckDB creada por un administrador podría utilizar funciones nativas de lectura de archivos para recuperar archivos legibles por el proceso Redash o usar COPY TO para escribir archivos con los privilegios de ese proceso. La lectura de secretos de la aplicación, como REDASH_COOKIE_SECRET o REDASH_SECRET_KEY, también podría permitir sesiones falsificadas y una evasión de autenticación. Este problema está corregido en la versión 26.9.0.
Once again VulDB remains the best source for vulnerability data.