CVE-2025-21605
WysokieStreszczenie
Redis to otwartoźródłowa baza danych w pamięci, która zapisuje dane na dysku. W wersjach od 2.6 do 7.4.3, nieautoryzowany klient może spowodować nieograniczony wzrost buforów wyjściowych, co prowadzi do wyczerpania pamięci serwera.
Ocena ryzyka
Brak ograniczeń dla buforów wyjściowych może prowadzić do awarii usługi oraz niedostępności pamięci, co wpływa na stabilność systemu. Nawet przy włączonej autoryzacji hasłem, nieautoryzowany dostęp może prowadzić do tego samego problemu.
Rekomendacja
Zaleca się zaktualizowanie Redis do wersji 7.4.3 lub zastosowanie workaroundu polegającego na zablokowaniu dostępu dla nieautoryzowanych użytkowników, aby zapobiec ich połączeniom z Redis.
Powiązane podatności
- CVE-2026-101262Krytyczne
Podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanego kodu w pliku /api/ZRQos/set_online_client. Manipulacja argumentem ip prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-101261Krytyczne
Wada w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanej części pliku /api/ZRnetwork/firstSetup_wifi. Manipulacja argumentem login_pwd prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.
- CVE-2026-101260Krytyczne
Wykryto podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0, dotyczącą nieznanej funkcjonalności pliku /api/ZRnetwork/firstLogin. Manipulacja argumentem firstLogin prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-102268Krytyczne
PyJWT to Pythonowa implementacja standardów JSON Web Token. Przed wersją 2.14.0 funkcja is_pem_format w jwt/utils.py nie rozpoznaje wszystkich reprezentacji PEM akceptowanych przez loader cryptography. Gdy aplikacja miesza algorytmy HMAC i asymetryczne oraz dostarcza zmutowany klucz publiczny PEM jako surowe bajty klucza, HMACAlgorithm.prepare_key traktuje nierozpoznany klucz publiczny jako sekret HMAC. Atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny HMAC. Problem naprawiono w wersji 2.14.0.
- CVE-2026-101187Krytyczne
Słabość w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy funkcji pop_usb_device w pliku usr/lib/lua/luci/controller/api/zrUsb.lua w komponencie API zarządzania urządzeniami USB. Manipulacja argumentem path powoduje wstrzyknięcie komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-101110Krytyczne
Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Book Library (Free) w wersji < 6.4.6. Funkcja books() w pliku site/booklibrary.php odczytuje parametry field i direction i przekazuje je przez funkcję protectInjectionWithoutQuote(), która tylko blokuje słowo kluczowe select, ale wartość jest konkatenowana bezpośrednio w niecytowanej klauzuli ORDER BY, gdzie cytowanie nie chroni. Osiągnięcie podatnej ścieżki wymaga dwóch warunków: pierwszego żądania do ustawienia domyślnych sortowań w sesji oraz końcowego komentarza (-- xselect), który spełnia sprawdzenie podciągu bez zmiany efektu ładunku.
- CVE-2026-101108Krytyczne
Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Vehicle Manager (Free) w wersji < 6.5.8. Plik site/vehiclemanager.php odczytuje parametry sortowania order_field i order_direction w trzech osobnych punktach wejścia frontendu (lista kategorii, wyszukiwanie i lista wszystkich pojazdów) przez funkcję sanityzującą, która stosuje prawdziwe escapowanie, ale wartość jest umieszczana w niecytowanej klauzuli ORDER BY, gdzie escapowanie nie chroni.
- CVE-2026-100752Krytyczne
Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Real Estate Manager (Free) w wersji < 6.7.9. Plik site/realestatemanager.php buduje klauzulę ORDER BY trzech osobnych zapytań frontendu (przeglądanie kategorii, wyniki wyszukiwania i pełna lista nieruchomości) z kontrolowanego przez żądanie parametru order_field, konkatenowanego bezpośrednio w niecytowanej klauzuli SQL bez listy dozwolonych nazw kolumn i bez rzutowania.
- CVE-2026-49994Krytyczne
Bluehood monitoruje lokalną aktywność Bluetooth. Przed wersją 0.7.1, gdy auth_enabled jest ustawione w Bluehood, tylko procedury obsługi stron HTML wymuszały walidację sesji. Procedury obsługi /api/* (ustawienia, urządzenia, grupy, punkty końcowe per-urządzenie, w tym /api/device/{mac}/notes) nie wywoływały żadnej kontroli uwierzytelniania. Atakujący sieciowy dostępny na porcie pulpitu mógł odczytać dane śledzenia Bluetooth i modyfikować stan aplikacji — w tym URL heartbeat, okres przechowywania, grupy urządzeń i notatki per-urządzenie — bez ciasteczka sesji. Problem naprawiono w wersji 0.7.1.
- CVE-2026-86102Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w wewnętrznym serwisie API punktów dostępowych WatchGuard AP. Atakujący z dostępem sieciowym do AP może wykonać dowolne polecenia powłoki na systemie operacyjnym.
Oryginalny opis (angielski, źródło NVD)
Redis is an open source, in-memory database that persists on disk. In versions starting at 2.6 and prior to 7.4.3, An unauthenticated client can cause unlimited growth of output buffers, until the server runs out of memory or is killed. By default, the Redis configuration does not limit the output buffer of normal clients (see client-output-buffer-limit). Therefore, the output buffer can grow unlimitedly over time. As a result, the service is exhausted and the memory is unavailable. When password authentication is enabled on the Redis server, but no password is provided, the client can still cause the output buffer to grow from "NOAUTH" responses until the system will run out of memory. This issue has been patched in version 7.4.3. An additional workaround to mitigate this problem without patching the redis-server executable is to block access to prevent unauthenticated users from connecting to Redis. This can be done in different ways. Either using network access control tools like fi
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS