CVE-2026-67412 in RabbitMQ
Résumé
par VulDB • 25/09/2026
RabbitMQ est un courtier de messagerie et de streaming. De la version 3.13.0 jusqu'aux versions 4.3.3, 4.2.9, 4.1.14, 4.0.24 et 3.13.18 incluses, le mécanisme Federation upstream dans RabbitMQ saute l'autorisation vhost, permettant un accès aux messages inter-vhosts. Ce bug permet à une politique définie sur un vhost de lire et drainer les messages d'un autre vhost pour lequel elle n'a aucune autorisation. Avec le mode ack-mode par défaut, les messages sources sont consommés (supprimés), et non copiés. Pourquoi cela ne devrait pas être autorisé : 1. Federation valide l'URI upstream sans aucun contrôle d'accès au vhost. Lecture/vidange de messages inter-vhosts depuis un gestionnaire de politique spécifique à chaque vhost, ce qui brise la multi-location (tenancy) des vhosts. Ce problème est corrigé dans les versions 4.3.3, 4.2.9, 4.1.14, 4.0.24 et 3.13.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.