CVE-2026-66068 in RabbitMQ
الملخص
بحسب VulDB • 24/09/2026
RabbitMQ هو وسيط للرسائل والتدفق (streaming). قبل الإصدارات 3.13.15، و4.0.20، و4.1.11، و4.2.6، و4.3.0، تقوم الدالة `?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State])` بتنسيق خريطة الحالة بالكامل (entire state map). يحتفظ حقل 'uris' بـ URIs نصية واضحة (plaintext) بعد عملية فك التشفير التي تقوم بها الدالة `credentials_obfuscation:decrypt` (المستدعاة في `rabbit_shovel_util:deobfuscated_uris/2`). لا توجد استدعاءات لوظيفة `format_status/1,2` داخل فئة `rabbit_shovel_worker` لإخفاء هذه البيانات. يتم التفعيل عند اكتمال عملية "Shovel" ذات الحذف التلقائي (autodelete shovel، حيث تكون قيمة `src-delete-after = N`). مع تمكين تسجيل التصحيح (DEBUG logging)، يؤدي اكتمال الـ autodelete-shovel إلى كتابة خريطة حالة الشوفيل الكاملة، بما في ذلك URIs المفككة مثل `amqp://user:password@host/`، إلى ملف سجل الوسيط. تشمل الشروط المسبقة تفعيل إضافة Shovel مع مستوى تسجيل تصحيح (DEBUG log level) يحتوي على بيانات اعتماد مضمنة في URI (وهو إعداد غير افتراضي)، وتكوين الـ autodelete shovel، وامتلاك المهاجم صلاحية قراءة السجلات. تم إصلاح هذه المشكلة في الإصدارات 3.13.15، و4.0.20، و4.1.11، و4.2.6، و4.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.