CVE-2025-29923
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
go-redis, oficjalna biblioteka klienta Redis dla języka Go, przed wersjami 9.5.5, 9.6.3 i 9.7.2 może odpowiadać w nieprawidłowej kolejności, gdy `CLIENT SETINFO` przekroczy limit czasu podczas nawiązywania połączenia. Może to wystąpić, gdy klient jest skonfigurowany do przesyłania swojej tożsamości, występują problemy z łącznością sieciową lub klient ma agresywne limity czasu. Problem dotyczy wielu przypadków użycia. Dla połączeń stałych otrzymujesz trwałe odpowiedzi w nieprawidłowej kolejności przez cały czas życia połączenia. Wszystkie polecenia w potoku otrzymują nieprawidłowe odpowiedzi. Przy użyciu domyślnego ConnPool, po zwróceniu połączenia po użyciu przez ConnPool#Put, bufor odczytu jest sprawdzany i połączenie jest oznaczane jako złe z powodu nieprzeczytanych danych. Oznacza to, że co najwyżej jedna odpowiedź w nieprawidłowej kolejności przed odrzuceniem połączenia. Problem został naprawiony w wersjach 9.5.5, 9.6.3 i 9.7.2; jednak 9.7.2 został wycofany, a 9.7.3 jest najniższą dostępną wersją z poprawką w gałęzi 9.7.x. Obejściem jest ustawienie flagi `DisableIndentity` na `true` podczas tworzenia instancji klienta.
Ocena ryzyka
Nieprawidłowa kolejność odpowiedzi może prowadzić do błędów w logice aplikacji, potencjalnie powodując nieprawidłowe przetwarzanie danych lub naruszenie integralności operacji Redis.
Rekomendacja
Zaktualizuj go-redis do wersji 9.5.5, 9.6.3 lub 9.7.3 (lub nowszej) albo ustaw flagę `DisableIndentity` na `true` jako obejście.
Powiązane podatności
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
- CVE-2026-105134Krytyczne
W systemie AhsayCBS do wersji 10.3.2 wykryto podatność na iniekcję poleceń systemu operacyjnego w pliku /rps/api/json/UpdateReceivers.do. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji 10.3.4 rozwiązuje problem.
- CVE-2026-105105Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w brokerze telemetrii i komend ait-server w NASA-AMMOS AIT-Core do wersji 3.1.1. Nieuwierzytelniony zdalny atakujący z dostępem do magistrali ZeroMQ może wstrzykiwać dane komend statku kosmicznego, wyciągać ruch komend i telemetrii, wstrzykiwać sfałszowaną telemetrię lub zakłócać działanie magistrali. Domyślnie gniazda XSUB i XPUB są powiązane ze wszystkimi interfejsami sieciowymi bez uwierzytelniania.
- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-92084Krytyczne
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.11.0.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Wykorzystanie wymaga strony z modułem Sidebar zawierającym widget wyświetlający tekst kontrolowany przez atakującego, np. widget Recent Comments z zatwierdzonym komentarzem.
- CVE-2026-87115Krytyczne
Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.
- CVE-2026-105080Krytyczne
W ConvertX przed wersją 0.19.0, plik converters/calibre.ts nie blokuje plików przepisów (recipe files) i przekazuje je do programu ebook-convert z Calibre. Umożliwia to wykonanie kodu zawartego w plikach .recipe lub .downloaded_recipe.
- CVE-2026-84411Krytyczne
Usługa zarządzania webowego w podatnych wersjach RouterOS zawiera błąd typu integer underflow w obsłudze treści żądań HTTP, osiągalny przed uwierzytelnieniem. Nieuwierzytelniony atakujący z dostępem sieciowym może wykorzystać pojedyncze spreparowane żądanie do zdalnego wykonania kodu jako root lub do wywołania odmowy usługi.
- CVE-2026-95102Krytyczne
Punkty końcowe WebSocket nie posiadają właściwych mechanizmów uwierzytelniania, co umożliwia atakującym podszywanie się pod stacje ładowania. Wykorzystując tę słabość, atakujący mogą uzyskać nieautoryzowany dostęp do danych wrażliwych lub wykonywać nieautoryzowane działania. Ponieważ uwierzytelnianie nie jest wymagane, może to prowadzić do eskalacji uprawnień i potencjalnej kompromitacji całego systemu.
Oryginalny opis (angielski, źródło NVD)
go-redis is the official Redis client library for the Go programming language. Prior to 9.5.5, 9.6.3, and 9.7.2, go-redis potentially responds out of order when `CLIENT SETINFO` times out during connection establishment. This can happen when the client is configured to transmit its identity, there are network connectivity issues, or the client was configured with aggressive timeouts. The problem occurs for multiple use cases. For sticky connections, you receive persistent out-of-order responses for the lifetime of the connection. All commands in the pipeline receive incorrect responses. When used with the default ConnPool once a connection is returned after use with ConnPool#Put the read buffer will be checked and the connection will be marked as bad due to the unread data. This means that at most one out-of-order response before the connection is discarded. This issue is fixed in 9.5.5, 9.6.3, and 9.7.2; however, 9.7.2 has been yanked and 9.7.3 is the lowest available patched version on the 9.7.x branch. As a workaround, set the flag `DisableIndentity` to `true` when constructing the client instance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS