CVE-2026-66068 in RabbitMQ
Сводка
по VulDB • 23.09.2026
RabbitMQ — это брокер сообщений и потоковой передачи данных. До версий 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0 вызов ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) форматирует всю карту состояния целиком. Поле 'uris' содержит URI в открытом виде после выполнения функции credentials_obfuscation:decrypt (вызываемой из rabbit_shovel_util:deobfuscated_uris/2). В модуле rabbit_shovel_worker отсутствует callback format_status/1,2 для маскирования этих данных. Уязвимость активируется при завершении автосоздаваемого Shovel'а (с параметром src-delete-after = N). При включенном уровне логирования DEBUG запись о завершении работы автосоздаваемого Shovel'а записывает в файл журнала брокера полную карту состояния Shovel'а, включая расшифрованные URI вида amqp://user:password@host/. Предпосылки для эксплуатации включают: включенный плагин Shovel с уровнем логирования DEBUG (не по умолчанию) и URI со встроенными учетными данными; конфигурацию автосоздаваемого Shovel'а; наличие у атакующего прав на чтение журнала. Проблема исправлена в версиях 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.