CVE-2026-66077

RabbitMQ mesajlaşma və axın brokeridir. Versiyalar 3.13.15, 4.0.20, 4.1.11 və 4.2.6-dan əvvəlki versiyalarda idarəetmə interfeysi (management UI), <%= ... %> ifadəsinin HTML-escape etmədiyi EJS 1.0-dan istifadə edir. connection.ejs:135 faylı <%= connection.ssl_details.peer_cert_subject %> (və peer_cert_issuer) dəyərini birbaşa səhifəyə render edir. Eyni model streamConnection.ejs:102,106,110 sətirlərində də görünür. Dəyərlər, DN-i HTML escape olmadan sətir kimi formatlayan rabbit_ssl:peer_cert_subject/1 funksiyasından gəlir. Verifikator orijinal tədqiqatçının iddiasını düzəltmişdir: buna yalnız dinləyici (listener) verify_peer ilə konfiqurasiya edildikdə daxil olmaq mümkündür (beləliklə, sertifikat ixtiyari özü imzalı yox, brokerin etibar anbarındakı (trust store) bir CA tərəfindən imzalanmalıdır); lakin klient autentifikasiyası üçün mTLS istifadə edilən tətbiqlərdə, təşkilati CA-dan sertifikat tələb edə bilən hər hansı istifadəçi Subject CN-ni idarə edə bilir. Brokerin etibar etdiyi bir CA tərəfindən imzalanmış (verify_peer aktiv olduqda) TLS klient sertifikatı əldə edə bilən hücumçu, sertifikatın Subject DN hissəsinə JavaScript yerləşdirə bilər. Hər hansı bir administrator idarəetmə interfeysində həmin bağlantıya baxdıqda, skript adminin brauzer sessiyasında icra olunur və bu, hesabın tam ələ keçirilməsinə (istifadəçilərin yaradılması, təriflərin ixracı və s.) imkan verir. İdarəetmə interfeysinin CSP-si 'unsafe-inline' ehtiva etdiyindən, sətirdaxili (inline) skriptin icrası bloklanmır. İlkin şərtlərə aşağıdakılar daxildir: TLS dinləyicisi ssl_options.verify = verify_peer ilə konfiqurasiya edilmişdir; hücumçu seçilmiş Subject ilə CA tərəfindən imzalanmış klient sertifikatı əldə edə bilir (məsələn, özünə-xidmət korporativ PKI və ya rabbitmq_trust_store plaginindən istifadə zamanı); administrator bağlantı detalları səhifəsinə baxır. Bu problem 3.13.15, 4.0.20, 4.1.11 və 4.2.6 versiyalarında aradan qaldırılmışdır.