阿里云漏洞库

CVE编号

CVE-2021-41192

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2022-01-13

redash 是一款开源的BI工具，提供了基于web的数据库查询和数据可视化功能。CVE-2021-41192 中，由于redash默认硬编码secret key，导致攻击者可利用secret key生成cookie 或者重置密码链接，从而登录进入后台，造成远程代码执行或数据泄漏等。

可参考 https://github.com/getredash/redash/security/advisories/GHSA-g8xr-f424-h2rv 进行修复。

参考链接
https://github.com/getredash/redash/commit/ce60d20c4e3d1537581f2f70f1308fe77ab6a214
https://github.com/getredash/redash/security/advisories/GHSA-g8xr-f424-h2rv
https://ian.sh/redash

CWE-ID	漏洞类型
CWE-1188	不安全的默认资源初始化