CVE-2026-66072 in RabbitMQ
摘要
由 VulDB • 2026-09-24
RabbitMQ是一个消息和流式代理。在版本3.13.15、4.0.20、4.1.11、4.2.6和4.3.1之前，`get_chunk_selector/1`函数会对来自经过身份验证的订阅（subscribe）和解析偏移量规范（resolve_offset_spec）帧中客户端提供的原始`<<"chunk_selector">>`属性调用`binary_to_atom`，且没有白名单保护也没有现有的守卫检查。具有读取任何流权限的身份验证过的流式客户端可以导致代理节点崩溃。前提条件包括启用了rabbitmq_stream插件以及拥有至少一个流的读取权限的经过身份验证的流协议用户。此问题已在版本3.13.15、4.0.20、4.1.11、4.2.6和4.3.1中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.