CVE-2026-67218

RabbitMQ to broker przesyłania wiadomości i przesyłania strumieniowego. Przed wersjami 4.0.22, 4.1.11, 4.2.6 i 4.3.0, Accept_content/2 w linii 56 wywołuje królik_stream_manager:create_super_stream/... bezpośrednio po is_authorized (które sprawdza tylko tag zarządzający + dostęp do vhosta poprzez is_authorized_vhost). Odpowiednik protokołu strumienia (obsługa obsługi Rabbit_stream_reader.erl create_super_stream) wywołuje królik_stream_utils:check_super_stream_management_permitted/4, który wymusza konfigurację na giełdzie i w każdej kolejce partycji. Procedura obsługi HTTP całkowicie pomija to wywołanie. Użytkownik z tagiem zarządzającym i dostępem do vhosta, ale bez uprawnień do konfiguracji żadnego zasobu, może tworzyć superstrumienie (kolejki strumieni wymiany + N partycji + powiązania) za pośrednictwem interfejsu API HTTP. Natywna ścieżka protokołu strumienia wymusza konfigurację każdego zasobu; ścieżka HTTP tego nie robi, co powoduje eskalację uprawnień z „może przeglądać” do „może tworzyć trwałe zasoby w całym klastrze”. Warunki wstępne obejmują tag zarządzający z włączoną wtyczką królikmq_stream_management + dostęp do vhosta (nie są wymagane żadne uprawnienia do zasobów). Ten problem został rozwiązany w wersjach 4.0.22, 4.1.11, 4.2.6 i 4.3.0.