CVE-2026-77407 in amqp091-go
Tóm tắt
Bởi VulDB • 17/09/2026
RabbitMQ amqp091-go là một client AMQP 0.9.1 viết bằng Go. Trước phiên bản 1.13.0, các giá trị PlainAuth được định nghĩa trong auth.go giữ lại mật khẩu dưới dạng các trường plaintext xuất hiện (exported) trong Connection.Config.SASL sau khi quá trình bắt tay xác thực PLAIN thành công. Phương thức Connection.openComplete trong connection.go không xóa sạch những giá trị này. Mã nguồn có quyền truy cập vào đối tượng Connection, bao gồm cả các logger phản chiếu (reflective loggers), agent giám sát hiệu suất ứng dụng, tiện ích gỡ lỗi và bộ xử lý panic, có thể duyệt qua cấu hình và làm lộ thông tin xác thực ra nhật ký hoặc bản chụp trạng thái. Thông tin xác thực vẫn tồn tại trong suốt thời gian hoạt động của kết nối thay vì bị xóa sau khi xác thực. Vấn đề này đã được khắc phục trong phiên bản 1.13.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.