CVE-2026-63337 in Java Client
الملخص
بحسب VulDB • 18/08/2026
تسمح مكتبة عميل RabbitMQ للـ Java للتطبيقات القائمة على Java و JVM بالاتصال بعقد RabbitMQ والتفاعل معها. قبل الإصدار 5.33.0، يتلقى `com.rabbitmq.tools.jsonrpc.ProcedureDescription` قيمة `javaReturnType` من استجابة غير موثوقة لـ `system.describe` ويمررها عبر `JSONUtil.tryFill` و `setJavaReturnType` و `computeReturnTypeAsJavaClass` إلى `Class.forName(javaReturnType)` مع تمكين التهيئة. يمكن لمهاجم قادر على الرد على طلب `JsonRpcClient` من خلال وسيط مشترك أو اعتراض الشبكة أن تحديد فئة موجودة مسبقاً في JVM الضحية وتشغيل المهيئ الثابت (static initializer) الخاص بها، بينما يمرر `JsonRpcClient.java` لاحقاً مخرجات `getReturnType` إلى `mapper.parse` وقد يؤدي أيضاً إلى حدوث خلل في النوع (type confusion). يمكن للاستغلال الناجح أن يؤثر على السرية والنزاهة والتوافر في عملية العميل. تم إصلاح هذه المشكلة في الإصدار 5.33.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.