CVE-2025-46818
عاليتم النشر
Redis: يمكن للمستخدمين المصادق عليهم تنفيذ نصوص LUA كمستخدم مختلف
- تم النشر
- 03/10/2025
- محدث
- 03/10/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 25/08/2026
CVSS الأساسي
7.3/ 10عالي
Redis: يمكن للمستخدمين المصادق عليهم تنفيذ نصوص LUA كمستخدم مختلف
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
Redis هي قاعدة بيانات مفتوحة المصدر، تعمل في الذاكرة وتستمر على القرص. تسمح الإصدارات 8.2.1 وما دونها لمستخدم مُصادَق باستخدام سكربت Lua مُصمَّم خصيصًا للتلاعب بكائنات LUA المختلفة وربما تشغيل الكود الخاص به في سياق مستخدم آخر. المشكلة موجودة في جميع إصدارات Redis التي تدعم سكربتات LUA. تم إصلاح هذه المشكلة في الإصدار 8.2.2. كحل بديل للتخفيف من المشكلة دون تصحيح ملف redis-server التنفيذي، يمكن منع المستخدمين من تنفيذ سكربتات LUA. يمكن القيام بذلك باستخدام ACL لحظر سكربت عن طريق تقييد كل من عائلتي أوامر EVAL وFUNCTION.
javascript/cves/2025/CVE-2025-46818.yaml
استغلال لثغرة Redis 8.2.1 للهروب من بيئة Lua المعزولة عبر واجهات برمجية قديمة وجداول وصفية قابلة للتعديل، مما يتيح تنفيذ أوامر عبر المستخدمين.
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.