CVE-2026-66069 in RabbitMQ
Résumé
par VulDB • 23/09/2026
RabbitMQ est un courtier de messagerie et de streaming. Avant les versions 4.1.13, 4.2.7 et 4.3.0, la fonction is_authorized/2 utilise is_authorized_monitor pour toutes les méthodes. DELETE réinitialise rabbit_core_metrics:reset_auth_attempt_metrics(). L'impact est cosmétique (compteurs uniquement, pas d'effacement de journal), mais il est incohérent avec rabbit_mgmt_wm_reset.erl qui exige un accès administrateur pour l'opération analogue. Un utilisateur marqué comme monitoring peut réinitialiser les compteurs de tentatives d'authentification par nœud via DELETE /api/auth/attempts/:node, effaçant ainsi les preuves des activités de force brute (brute-force). Le point de terminaison frère wm_reset nécessite un accès administrateur. Les conditions préalables incluent l'activation du plugin Management et le tag monitoring. Ce problème est corrigé dans les versions 4.1.13, 4.2.7 et 4.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.