CVE-2026-25588: RCE in RedisTimeSeries 1.12.14+
Plattform
redis
Komponente
redis-server
Behoben in
1.12.14
CVE-2026-25588 affects RedisTimeSeries, a time-series module for Redis, allowing for potential remote code execution. An authenticated attacker can exploit this vulnerability by crafting malicious serialized payloads through the RESTORE command, leading to memory access issues. This vulnerability impacts RedisTimeSeries versions up to 1.12.14. A patch is available in version 1.12.14.
Auswirkungen und Angriffsszenarien
Successful exploitation of CVE-2026-25588 allows an authenticated attacker to execute arbitrary code on the Redis server running the RedisTimeSeries module. This could lead to complete system compromise, data exfiltration, and denial of service. The attacker needs permission to execute the RESTORE command, which is typically granted to administrative users. The blast radius extends to any time-series data stored within the RedisTimeSeries instance, potentially impacting applications and services relying on it. Similar to CVE-2026-25243, the exploitation pattern involves leveraging a deserialization process to achieve RCE.
Ausnutzungskontext
The exploitation context for CVE-2026-25588 is currently unclear. No public proof-of-concept (POC) exploits are widely available. The vulnerability has been published on 2026-05-05. The EPSS score is pending evaluation. Monitor security advisories and threat intelligence feeds for any signs of active exploitation.
Bedrohungsanalyse
Exploit-Status
EPSS
0.27% (50% Perzentil)
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Niedrig — jedes gültige Benutzerkonto ist ausreichend.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
- Confidentiality
- Hoch — vollständiger Vertraulichkeitsverlust. Angreifer kann alle Daten lesen.
- Integrity
- Hoch — Angreifer kann beliebige Daten schreiben, ändern oder löschen.
- Availability
- Hoch — vollständiger Absturz oder Ressourcenerschöpfung. Totaler Denial of Service.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Veröffentlicht
- Geändert
- EPSS aktualisiert
Mitigation und Workarounds
The primary mitigation for CVE-2026-25588 is to upgrade to RedisTimeSeries version 1.12.14 or later. If immediate upgrade is not possible, restrict access to the RESTORE command using ACL rules. This limits the ability of attackers to execute the vulnerable command. Consider implementing a Web Application Firewall (WAF) or proxy to filter potentially malicious RESTORE requests. Monitor Redis logs for suspicious activity related to the RESTORE command. After upgrading, confirm the fix by attempting a RESTORE operation with a known malicious payload – it should be rejected.
So behebenwird übersetzt…
Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.
Häufig gestellte Fragen
Was ist CVE-2026-25588 — Remote Code Execution (RCE) in redis server?
It’s a Remote Code Execution (RCE) vulnerability in RedisTimeSeries versions ≤1.12.14, exploitable via the RESTORE command.
Bin ich von CVE-2026-25588 in redis server betroffen?
If you're running RedisTimeSeries versions up to 1.12.14, you are potentially affected. Upgrade immediately.
Wie behebe ich CVE-2026-25588 in redis server?
Upgrade to RedisTimeSeries version 1.12.14 or later. As a temporary workaround, restrict access to the RESTORE command using ACL rules.
Wird CVE-2026-25588 aktiv ausgenutzt?
Currently, there are no publicly known active campaigns exploiting this vulnerability, but monitoring is advised.
Wo finde ich den offiziellen redis server-Hinweis für CVE-2026-25588?
Refer to the official RedisTimeSeries security advisory and the NVD entry for CVE-2026-25588 for detailed information.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Jetzt testen — kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...