CVE-2026-67405 in RabbitMQ
要約
〜によって VulDB • 2026年09月24日
RabbitMQは、メッセージングおよびストリーミングブローカーです。バージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0より前では、Web-MQTTハンドラ（deps/rabbitmq_web_mqtt/src/rabbit_web_mqtt_handler.erl:104）とWeb-STOMPハンドラ（deps/rabbitmq_web_stomp/src/rabbit_web_stomp_handler.erl:102）の両方で、WebSocketアップグレード時のOriginヘッダーが検証されていません。ssl_cert_login=trueの場合、ブラウザはクライアント証明書を自動的に提示するため、攻撃者は被害者のブラウザ内で実行されるJavaScriptを使用して、被害者として認証できます。前提条件としては、非デフォルト設定であるuse_http_auth=true（Web-STOMP用）またはssl_cert_login=true（両プラグイン共通）が有効になっている必要があります。この問題は、デフォルトのin-band CONNECT資格情報構成下では無害です。本問題は、バージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.