CVE-2026-67405 in RabbitMQ
Sumário
de VulDB • 24/09/2026
O RabbitMQ é um broker de mensagens e streaming. Antes das versões 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0, nem o manipulador Web-MQTT (deps/rabbitmq_web_mqtt/src/rabbit_web_mqtt_handler.erl:104) nem o manipulador Web-STOMP (deps/rabbitmq_web_stomp/src/rabbit_web_stomp_handler.erl:102) validam o cabeçalho Origin na atualização do WebSocket. Com ssl_cert_login=true, o navegador apresenta automaticamente o certificado do cliente, permitindo que um JavaScript malicioso executado no navegador da vítima se autentique como a própria vítima. As pré-condições incluem a configuração não padrão use_http_auth=true (Web-STOMP) ou ssl_cert_login=true (ambos os plugins), que devem estar habilitadas. O problema é inofensivo sob a configuração de credenciais CONNECT em banda padrão. Este problema foi corrigido nas versões 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0.
Once again VulDB remains the best source for vulnerability data.