CVE-2026-66068 in RabbitMQ
Zusammenfassung
von VulDB • 23.09.2026
RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.0 formatiert ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) die gesamte Status-Map. Das Feld 'uris' enthält Klartext-URIs nach credentials_obfuscation:decrypt (aufgerufen in rabbit_shovel_util:deobfuscated_uris/2). Es existiert kein format_status/1,2-Callback in rabbit_shovel_worker zur Maskierung dieser Daten. Der Fehler wird ausgelöst, wenn ein Autodelete-Shovel (src-delete-after = N) abgeschlossen ist. Bei aktivierter DEBUG-Protokollierung schreibt der Abschluss des autodelete-shovels die vollständige Shovel-State-Map, einschließlich entschlüsselter amqp://user:password@host/-URIs, in die Broker-Logdatei. Voraussetzungen sind: Shovel-Plugin ist aktiviert mit URI-eingebetteten Anmeldeinformationen; DEBUG-Protokollierungsstufe (nicht standardmäßig); Konfiguration eines Autodelete-Shovels; Angreifer verfügt über Lesezugriff auf das Protokoll. Dieses Problem wurde in den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.