CVE-2025-46818
Redis: يمكن للمستخدمين المصادق عليهم تنفيذ نصوص LUA كمستخدم مختلف
- تم النشر
- 03/10/2025
- محدث
- 03/10/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 25/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 52.3%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Redis هي قاعدة بيانات مفتوحة المصدر، تعمل في الذاكرة وتستمر على القرص. تسمح الإصدارات 8.2.1 وما دونها لمستخدم مُصادَق باستخدام سكربت Lua مُصمَّم خصيصًا للتلاعب بكائنات LUA المختلفة وربما تشغيل الكود الخاص به في سياق مستخدم آخر. المشكلة موجودة في جميع إصدارات Redis التي تدعم سكربتات LUA. تم إصلاح هذه المشكلة في الإصدار 8.2.2. كحل بديل للتخفيف من المشكلة دون تصحيح ملف redis-server التنفيذي، يمكن منع المستخدمين من تنفيذ سكربتات LUA. يمكن القيام بذلك باستخدام ACL لحظر سكربت عن طريق تقييد كل من عائلتي أوامر EVAL وFUNCTION.
المصادر
1- CVE-2025-46818استغلال
استغلال لثغرة Redis 8.2.1 للهروب من بيئة Lua المعزولة عبر واجهات برمجية قديمة وجداول وصفية قابلة للتعديل، مما يتيح تنفيذ أوامر عبر المستخدمين.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.