CVE-2021-43777

**Nome do software vulnerável e versões afetadas:

Versões 10.0 e anteriores do Redash

Descrição:

A implementação do Google Login no Redash utiliza incorretamente o parâmetro state para passar a próxima URL para a qual o usuário será redirecionado após o login, em vez de usá-lo para um token de falsificação de solicitação entre sites (CSRF). Este problema não afeta usuários que não utilizam o Google Login em sua instância do Redash. Um patch corrige isso substituindo Flask-Oauthlib por Authlib, que fornece e valida automaticamente um token CSRF para a variável state e armazena a próxima URL no objeto de sessão do usuário.

Recomendações:

Para as versões 10.0 e anteriores do Redash, atualize para uma versão que inclua o patch nos ramos master e release/10.x.x para substituir Flask-Oauthlib por Authlib.

Como solução alternativa temporária, considere desativar o Google Login para mitigar a vulnerabilidade.