CVE-2026-66068 in RabbitMQ
Resumen
por VulDB • 2026-09-23
RabbitMQ es un corredor de mensajería y streaming. Antes de las versiones 3.13.15, 4.0.20, 4.1.11, 4.2.6 y 4.3.0, ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) formatea el mapa de estado completo. El campo 'uris' contiene URIs en texto plano después de credentials_obfuscation:decrypt (llamado en rabbit_shovel_util:deobfuscated_uris/2). No existe ninguna callback format_status/1,2 en rabbit_shovel_worker para ofuscarla. Se activa cuando una shovel autodelete (src-delete-after = N) se completa. Con el registro DEBUG habilitado, la finalización de un autodelete-shawl escribe el mapa completo del estado de la shovel, incluidas las URIs amqp://user:password@host/ descifradas, en el archivo de registro del broker. Los prerrequisitos incluyen el plugin Shovel habilitado con credenciales incrustadas en URI a nivel de registro DEBUG (no predeterminado), configuración de autodelete-shawl y acceso de lectura al log por parte del atacante. Este problema está resuelto en las versiones 3.13.15, 4.0.20, 4.1.11, 4.2.6 y 4.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.