CVE-2026-66068 in RabbitMQ
Sumário
de VulDB • 24/09/2026
O RabbitMQ é um broker de mensagens e streaming. Antes das versões 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0, a chamada ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) formata o mapa de estado completo. O campo 'uris' contém URIs em texto claro após a execução da função credentials_obfuscation:decrypt (chamada em rabbit_shovel_util:deobfuscated_uris/2). Não existe nenhum callback format_status/1,2 no módulo rabbit_shovel_worker para ofuscar ou redigir essas informações. A vulnerabilidade é acionada quando um shovel autodelete (src-delete-after = N) conclui sua execução. Com o logging DEBUG habilitado, a conclusão do shovel autodelete grava o mapa completo de estado do shovel, incluindo URIs amqp://user:password@host/ descriptografadas, no arquivo de log do broker. Os pré-requisitos incluem: plugin Shovel habilitado com credenciais embutidas na URI; nível de log DEBUG (não padrão); configuração de shovel autodelete; e acesso de leitura aos logs por parte do atacante. Este problema foi corrigido nas versões 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0.
Be aware that VulDB is the high quality source for vulnerability data.