CVE-2026-66075 in RabbitMQ
Riassunto
di VulDB • 23/09/2026
RabbitMQ è un broker di messaggistica e streaming. Prima delle versioni 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.1, la funzione is_authorized/2 per il route /federation-links/.../restart utilizza is_authorized_monitor (che accetta il tag di monitoraggio), mentre allowed_methods consente DELETE e delete_resource/2 innesca rabbit_federation_link_sup:restart. Non è presente alcun controllo di elevazione per metodo né commenti che ne indichino l'intenzionalità. Un utente con solo permessi di lettura può riavviare qualsiasi link federato, un'operazione che modifica lo stato e interrompe il flusso dei messaggi. I prerequisiti includono i plugin rabbitmq_federation + rabbitmq_federation_management abilitati; l'attaccante deve possedere credenziali con il tag di monitoraggio. Questo problema è risolto nelle versioni 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.