CVE-2026-93435

WysokieCVSS 7.5

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

redis-parser do wersji 3.0.0 zawiera podatność na odmowę usługi w parserze protokołu RESP, która pozwala złośliwym punktom końcowym Redis na doprowadzenie do awarii procesu klienta przez nieograniczoną rekurencję na zagnieżdżonych tablicach. Atakujący mogą wysyłać spreparowane strumienie bajtów RESP z powtarzającymi się nagłówkami tablic, co wyczerpuje stos V8 i powoduje nieprzechwycony błąd RangeError, który kończy proces Node.js bez wywołania callbacków obsługi błędów.

Ocena ryzyka

Podatność umożliwia zdalne doprowadzenie do awarii procesu Node.js, co może skutkować przerwaniem działania aplikacji korzystających z redis-parser.

Rekomendacja

Zaleca się aktualizację redis-parser do wersji nowszej niż 3.0.0 oraz ograniczenie zaufania do źródeł danych RESP.

Inne podatności w redis-parser

CVE-2026-97057Wysokie
redis-parser do wersji 3.0.0 nie waliduje wartości multi-bulk length w parsowaniu protokołu RESP, co pozwala atakującemu wywołać nieobsłużony RangeError poprzez podanie zbyt dużej zadeklarowanej długości. Złośliwy lub przejęty endpoint Redis może dostarczyć spreparowany nagłówek RESP z długością powyżej 2^32-1.

Oryginalny opis (angielski, źródło NVD)

redis-parser through 3.0.0 contains a denial of service vulnerability in the RESP protocol parser that allows malicious Redis endpoints to crash the client process through unbounded recursion on nested arrays. Attackers can send crafted RESP byte streams with repeated array headers that exhaust the V8 call stack, causing an uncaught RangeError that terminates the Node.js process without triggering error handling callbacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS