redis-py Race Condition due to incomplete fix

TRUNG BÌNH 6.5CVE-2023-28859 · GHSA-8fww-64cx-x8p5 · PYSEC-2023-46 · Công bố 26/03/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-28859 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng redis, redis-py (redis).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.0%, cao hơn 63.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.4.4, 4.5.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
redis PyPI	`≥ 4.2.0, < 4.4.4≥ 4.5.0, < 4.5.4`	`4.4.44.5.4`
redis-py redis	`≥ 4.2.0, < 4.4.4≥ 4.5.0, < 4.5.4`	`4.4.44.5.4`

Mô tả

redis-py through 4.5.3 and 4.4.3 leaves a connection open after canceling an async Redis command at an inopportune time (in the case of a non-pipeline operation), and can send response data to the client of an unrelated request. NOTE: this issue exists because of an incomplete fix for CVE-2023-28858.

Mô tả của NVD

redis-py before 4.4.4 and 4.5.x before 4.5.4 leaves a connection open after canceling an async Redis command at an inopportune time, and can send response data to the client of an unrelated request. (This could, for example, happen for a non-pipeline operation.) NOTE: the solutions for CVE-2023-28859 address data leakage across AsyncIO connections in general.