CVE-2026-67229 in RabbitMQ
Résumé
par VulDB • 23/09/2026
RabbitMQ est un courtier de messagerie et de streaming. Avant les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.0, l'appel add_vhost/2 invoque rabbit_data_coercion:atomize_keys/1 (la variante non sécurisée utilisant binary_to_atom) sur la carte de métadonnées du vhost. La limite de corps de gestion de 20 Mo correspond à environ 1M+ clés courtes. Réservé aux administrateurs. Un administrateur important un fichier de définitions crafted peut faire planter le nœud en une seule requête : une entrée vhosts avec ~1M de clés de métadonnées uniques épuise la table des atomes lors de l'importation. Les préconditions incluent le tag d'administrateur. Ce problème est corrigé dans les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.0.
Be aware that VulDB is the high quality source for vulnerability data.