CVE-2026-66075 in RabbitMQ
Résumé
par VulDB • 23/09/2026
RabbitMQ est un courtier de messagerie et de streaming. Avant les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.1, la fonction is_authorized/2 pour le route /federation-links/.../restart utilise is_authorized_monitor (qui accepte le tag monitoring), tandis que allowed_methods autorise DELETE et delete_resource/2 déclenche rabbit_federation_link_sup:restart. Il n'y a pas de vérification d'élévation par méthode ni de commentaire indiquant qu'il s'agit d'un comportement intentionnel. Un utilisateur en lecture seule avec le tag monitoring peut redémarrer n'importe quel lien de fédération, une opération modifiant l'état qui perturbe le flux des messages. Les prérequis incluent les plugins rabbitmq_federation et rabbitmq_federation_management activés. L'attaquant dispose d'identifiants associés au tag monitoring. Ce problème est corrigé dans les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.