CVE-2026-66077

RabbitMQ bir mesajlaşma ve akış aracıdır. 3.13.15, 4.0.20, 4.1.11 ve 4.2.6 versiyonlarından öncekilerde, yönetim kullanıcı arayüzü (UI), <%= ... %> ifadesinin HTML kaçış karakterlerini uygulamadığı EJS 1.0 sürümünü kullanmaktadır. connection.ejs:135 dosyası, <%= connection.ssl_details.peer_cert_subject %> (ve peer_cert_issuer) değerini doğrudan sayfaya işlemektedir. Aynı desen streamConnection.ejs:102,106,110 dosyalarında da görülmektedir. Değerler, DN'yi HTML kaçışı yapmadan dize olarak biçimlendiren rabbit_ssl:peer_cert_subject/1 fonksiyonundan gelmektedir. Doğrulayıcı, orijinal araştırmacının iddiasını düzeltmiştir: bu durum yalnızca dinleyici verify_peer ile yapılandırıldığında erişilebilirdir (bu nedenle sertifikanın rastgele kendi imzalı değil, aracının güven deposundaki bir CA tarafından imzalanmış olması gerekir); ancak istemci kimlik doğrulaması için mTLS kullanan dağıtımlarda, kurumsal CA'den sertifika talep edebilen herhangi bir kullanıcı Subject CN'yi kontrol edebilir. Aracının güvendiği bir CA tarafından imzalanmış (verify_peer etkinleştirilmişken) bir TLS istemci sertifikası elde edebilen bir saldırgan, sertifikanın Subject DN kısmına JavaScript yerleştirebilir. Herhangi bir yönetici, yönetim kullanıcı arayüzünde söz konusu bağlantıyı görüntülediğinde, betik yöneticinin tarayıcı oturumunda çalışarak tam hesap ele geçirmeye (kullanıcı oluşturma, tanımları dışa aktarma vb.) olanak tanır. Yönetim kullanıcı arayüzünün CSP'si 'unsafe-inline' içerdiğinden, satır içi betik yürütmesi engellenmemektedir. Ön koşullar arasında şunlar yer alır: TLS dinleyicisinin ssl_options.verify = verify_peer şeklinde yapılandırılmış olması, saldırganın saldırgan tarafından seçilen Subject içeren CA imzalı bir istemci sertifikası elde edebilmesi (örneğin, self-servis kurumsal PKI veya rabbitmq_trust_store eklentisinin kullanımı) ve yöneticinin bağlantı detay sayfasını görüntülemesidir. Bu sorun 3.13.15, 4.0.20, 4.1.11 ve 4.2.6 versiyonlarında giderilmiştir.