CVE-2026-67405 in RabbitMQ
Сводка
по VulDB • 24.09.2026
RabbitMQ — это брокер сообщений и потоковой передачи данных. До версий 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0 ни обработчик Web-MQTT (deps/rabbitmq_web_mqtt/src/rabbit_web_mqtt_handler.erl:104), ни обработчик Web-STOMP (deps/rabbitmq_web_stomp/src/rabbit_web_stomp_handler.erl:102) не проверяют заголовок Origin при переходе на протокол WebSocket. При включенной настройке ssl_cert_login=true браузер автоматически предоставляет сертификат клиента, поэтому JavaScript-код злоумышленника, выполняемый в браузере жертвы, может пройти аутентификацию от имени этой жертвы. Необходимые условия включают: должна быть активирована нестандартная конфигурация use_http_auth=true (для Web-STOMP) или ssl_cert_login=true (для обоих плагинов). Проблема не представляет угрозы при использовании стандартной конфигурации учетных данных для подключения in-band. Данная проблема исправлена в версиях 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.