CVE-2026-66078

Nome do Software Vulnerável e Versões Afetadas RabbitMQ versões 3.13.0 até 3.13.14 RabbitMQ versões 4.0.x anteriores a 4.0.20 RabbitMQ versões 4.1.x anteriores a 4.1.11 RabbitMQ versões 4.2.x anteriores a 4.2.6

Description Existe uma falha de bypass da tag de proteção quando o plugin rabbitmqmanagement está habilitado. Enquanto o endpoint 'DELETE /api/users/:name' impede corretamente a exclusão de usuários marcados como protegidos ao utilizar a função deleteresource/2 para verificar isprotecteduser, o endpoint 'POST /api/users/bulk-delete' ignora essa salvaguarda. O processo de exclusão em massa itera por uma lista de nomes de usuário e chama a função deleteuser/2 diretamente, a qual não possui a verificação de tag de proteção. Consequentemente, um usuário com a tag de administrador pode excluir contas de serviço marcadas como protegidas.

Recommendations Atualize o RabbitMQ para a versão 3.13.15. Atualize o RabbitMQ para a versão 4.0.20. Atualize o RabbitMQ para a versão 4.1.11. Atualize o RabbitMQ para a versão 4.2.6.