CVE-2026-66070

RabbitMQ bir mesajlaşma ve akış aracıdır. 3.13.17, 4.0.22, 4.1.13 ve 4.2.6 versiyonlarından öncekilerde, match_origin/1 fonksiyonu, "*" joker karakteri yapılandırılmış olsa bile yalın yansıtılmış Origin değerini döndürmüş ve kimlik bilgilerine izin vermiştir; bu nedenle yanıt, saldırganın origin bilgisini Access-Control-Allow-Credentials ile birlikte geri yansıtmıştır. Etkilenen kod rabbit_mgmt_cors.erl dosyasıdır. Yönetim eklentisi joker karakterli bir CORS origin (cors_allow_origins = "*") ile yapılandırıldığında, işleyici istekteki Origin değerini Access-Control-Allow-Origin içinde geri yansıtır ve ayrıca Access-Control-Allow-Credentials: true gönderir. Oturum açmış bir yöneticinin ziyaret ettiği kötü amaçlı bir web sayfası, ardından söz konusu yöneticinin önbelleğe alınmış HTTP Basic kimlik bilgilerini kullanarak yönetim API'sine kimliği doğrulanmış, durum değiştirici istekler gönderebilir. Ön koşullar arasında şunlar yer alır: Yönetim eklentisinin açık bir operatör yanlış yapılandırması olan joker karakterli cors_allow_origins = "*" ile yapılandırılmış olması ve hedef yöneticinin tarayıcısında önbelleğe alınmış bir HTTP Basic-auth oturumunun bulunması. Bu sorun 3.13.17, 4.0.22, 4.1.13 ve 4.2.6 versiyonlarında düzeltilmiştir.