CVE-2026-42093

Nome do Software Vulnerável e Versões Afetadas Redash versões 8.0.1 até 26.8.9

Descrição O executor de consultas Query Results em redash/query runner/query results.py aceita parâmetros param query N {key=value} e passa valores controlados por um invasor para a função replace query parameters() para substituição bruta no SQL de uma consulta referenciada. Este caminho ignora a validação de esquema ParameterizedQuery usada na execução normal de consultas e omite a verificação de permissão is safe. Consequentemente, um usuário autenticado com acesso apenas de visualização tanto à fonte de dados Query Results quanto à fonte de dados referenciada pode injetar SQL por meio de parâmetros de texto e executá-lo com os privilégios da fonte de dados referenciada.

Recomendações Atualizar para a versão 26.9.0.