CVE-2026-67218

RabbitMQ mesajlaşma və axın brokeridir. Versiyalar 4.0.22, 4.1.11, 4.2.6 və 4.3.0-dan əvvəlki versiyalarda, 56-cı sətirdəki accept_content/2 funksiyası is_authorized-dən (hansı ki, yalnız idarəetmə teqi + is_authorized_vhost vasitəsilə vhost girişini yoxlayır) dərhal sonra rabbit_stream_manager:create_super_stream/... funksiyasını çağırır. Stream-protokol ekvivalenti (rabbit_stream_reader.erl create_super_stream handler), mübadilədə (exchange) və hər bir bölmə növbəsində (partition queue) konfiqurasiyanı təmin edən rabbit_stream_utils:check_super_stream_management_permitted/4 funksiyasını çağırır. HTTP handler isə bu çağırışı tamamilə ötürür. İdarəetmə teqinə və vhost girişinə malik olan, lakin heç bir resurs üzərində konfiqurasiya icazəsi olmayan istifadəçi, HTTP API vasitəsilə super-axınlar (bir mübadilə + N bölmə axın növbələri + bağlamalar) yarada bilər. Yerli stream-protokol yolu hər bir resurs üçün konfiqurasiyanı tələb edir; HTTP yolu isə etmir, bu da 'baxa bilir' səlahiyyətindən 'klaster miqyaslı daimi resurslar yarada bilir' səviyyəsinə imtiyazların yüksəldilməsinə səbəb olur. İlkin şərtlərə rabbitmq_stream_management plagininin aktiv olması, idarəetmə teqi + vhost girişi (resurs icazələrinə ehtiyac yoxdur) daxildir. Bu problem 4.0.22, 4.1.11, 4.2.6 və 4.3.0 versiyalarında düzəldilmişdir.