CVE-2026-67410

RabbitMQ mesajlaşdırma və axın brokeridir. Versiya 4.2.0-dan etibarən 4.3.3 və 4.2.9-a qədər olan versiyalarda, autentifikasiya olunmamış JavaScript son nöqtəsi vasitəsilə OAuth2 Client Secret məlumatı ifşa olur (CWE-200). RabbitMQ Management UI üçün OAuth2 autentifikasiyası aktiv olduqda və konfiqurasiya edilmiş axında IDP client secret istifadə etdikdə, oauthclientsecret konfiqurasiya dəyəri autentifikasiya tələb etməyən /js/oidc-oauth/bootstrap.js son nöqtəsi tərəfindən təqdim edilən JavaScript faylına daxil edilir. İdarəetmə UI portuna daxil ola bilən hər hansı istifadəçi OAuth2 client secret məlumatını əldə edə bilər. Fayllar: deps/rabbitmqmanagement/src/rabbitmgmtwmauth.erl, sətir 186; deps/rabbitmqmanagement/src/rabbitmgmtoauthbootstrap.erl, sətirlər 35-50; deps/rabbitmqmanagement/src/rabbitmgmtdispatcher.erl, sətirlər 45-49 (marşrut qeydiyyatı). Kod yolu: 1. /js/oidc-oauth/bootstrap.js marşrutu adi Cowboy handler kimi qeydiyyata alınır (rabbitmgmtdispatcher.erl:46): Təsirə məruz qalan konfiqurasiya üçün etibarlılıq məlumatlarının ifşası: OAuth2 client secret heç bir autentifikasiya olmadan əlçatandır. Token oğurluğu: Hücumçu oğurlanmış avtorizasiya kodlarından istifadə edərək avtorizasiya kodu axınını tamamlaya bilər. Müştəri impersonasiyası: Hücumçu sorğular göndərə bilər. Bu problem 4.3.3 və 4.2.9 versiyalarında düzəldilmişdir.