CVE-2026-97057— redis-parser 3.0.0 拒绝服务漏洞

一分钟漏洞结论

复制摘要 复制引用

影响对象

NodeRedis redis-parser

利用判断

尚无明确在野利用证据，仍需结合暴露面评估

建议动作

优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

redis-parser 在 3.0.0 及之前版本中存在漏洞，该漏洞源于其在解析 RESP 协议时未对“多批量（multi-bulk）”长度值进行有效验证。攻击者可以通过提供一个声明长度过大的值，触发一个未被捕获的 RangeError 异常。当恶意或已被入侵的 Redis 服务端发送一个包含异常大长度值（大于 2^32 - 1）的精心构造的 RESP 头部时，可导致 Node.js 客户端进程崩溃。

CVE-2026-97057 影响 NodeRedis redis-parser。尚无明确在野利用证据，仍需结合暴露面评估。redis-parser 在 3.0.0 及之前版本中存在漏洞，该漏洞源于其在解析 RESP 协议时未对“多批量（multi-bulk）”长度值进行有效验证。攻击者可以通过提供一个声明长度过大的值，触发一个未被捕获的 RangeError 异常。当恶意或已被入侵的 Redis 服务端发送一个包含异常大长度值（大于 2^32 - 1）的精心构造的 RESP 头 CVE-2026-97057 漏洞详情，神龙漏洞库，https://cve.imfht.com/detail/CVE-2026-97057

一、 漏洞 CVE-2026-97057 基础信息

受影响产品

二、漏洞 CVE-2026-97057 的公开POC

三、漏洞 CVE-2026-97057 的情报信息

CVE-2026-97057 补丁与修复 (3)

• 🔗 node-redis-parser/lib/parser.js at 4c2d31c8717f05dea1ffd91a0e45d68f452c73bd · NodeRedis/node-redis-parser · GitHub 查看完整文章 technical-description
• 🔗 node-redis-parser/lib/parser.js at 4c2d31c8717f05dea1ffd91a0e45d68f452c73bd · NodeRedis/node-redis-parser · GitHub 查看完整文章 technical-description
• 🔗 Large array lengths can cause an unhandled RangeError · Issue #47 · NodeRedis/node-redis-parser 查看完整文章 issue-tracking

CVE-2026-97057 厂商安全公告 (1)

• 🔗 redis-parser through 3.0.0 Denial of Service via Invalid Array Length | Advisories | VulnCheck third-party-advisory

CVE-2026-97057 概念验证 (1)

• 🔗 [security disclosure] unbounded array preallocation uncaught RangeError crash · Issue #65 · NodeRedis/node-redis-parser 查看完整文章 issue-tracking

CVE-2026-97057 其他参考 (1)

• 🔗 node-redis-parser/lib/parser.js at 4c2d31c8717f05dea1ffd91a0e45d68f452c73bd · NodeRedis/node-redis-parser · GitHub technical-description

• https://www.cve.org/CVERecord?id=CVE-2026-97057

IV. Related Vulnerabilities

V. Comments for CVE-2026-97057