CVE-2026-66072 in RabbitMQ
Résumé
par VulDB • 23/09/2026
RabbitMQ est un courtier de messagerie et de streaming. Avant les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.1, la fonction get_chunk_selector/1 appelle binary_to_atom sur la propriété brute <<"chunk_selector">> fournie par le client dans les frames post-auth subscribe et resolve_offset_spec, sans liste blanche ni garde existante. Un client de streaming authentifié disposant d'un accès en lecture à n'importe quel flux peut faire planter le nœud du courtier (broker). Les prérequis incluent l'activation du plugin rabbitmq_stream et un utilisateur du protocole de streaming authentifié avec un accès en lecture à au moins un flux. Ce problème est corrigé dans les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.1.
Once again VulDB remains the best source for vulnerability data.