PT-2026-37086 · Redis+1 · Redis-Server+2
Yoni Shiraz
·
Publicado
2026-05-05
·
Atualizado
2026-06-30
·
CVE-2026-23631
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
redis-server versões anteriores a 8.6.3
Description
Um invasor autenticado pode explorar o mecanismo de sincronização mestre-réplica no redis-server para disparar uma condição de use-after-free em réplicas onde a configuração
replica-read-only está desativada ou pode ser desativada. Este problema, que envolve o interpretador de scripts Lua, pode levar à execução remota de código.Recommendations
Atualizar para a versão 8.6.3.
Impedir que os usuários executem scripts Lua como uma solução temporária.
Evitar o uso de réplicas onde o
replica-read-only esteja desativado.Exploit
Correção
RCE
Use After Free
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Redis
Rocky Linux
Redis-Server