CVE-2026-67233

Nome do Software Vulnerável e Versões Afetadas RabbitMQ versões anteriores a 3.13.15 RabbitMQ versões anteriores a 4.0.20 RabbitMQ versões anteriores a 4.1.11 RabbitMQ versões anteriores a 4.2.6 RabbitMQ versões anteriores a 4.3.1

Description Existe uma falha de bypass de autorização no recurso de gerenciamento do shovel, onde a função is authorized/2 delega para rabbit mgmt util:is authorized monitor/2. Como a lista allowed methods inclui DELETE e a função delete resource/2 executa exclusões ou reinicializações de parâmetros de tempo de execução do shovel sem verificações de função adicionais, um usuário com apenas a tag de monitoramento pode realizar operações de alteração de estado. Isso permite que um usuário de monitoramento somente leitura exclua ou reinicie qualquer shovel dinâmico em qualquer vhost ao qual tenha acesso, ação que deveria ser restrita a um policymaker. Este problema requer que os plugins rabbitmq shovel e rabbitmq shovel management estejam habilitados e que o atacante possua credenciais com a tag de monitoramento.

Recommendations Atualize para a versão 3.13.15. Atualize para a versão 4.0.20. Atualize para a versão 4.1.11. Atualize para a versão 4.2.6. Atualize para a versão 4.3.1.