RabbitMQ 是一種訊息與資料流代理人。 4.0.3 之前的版本容易受到復雜攻擊影響其可修改磁碟上的虛擬主機名稱並使其無法復原 (使用磁碟上的其他檔案修改)可導致管理 UI 使用者的瀏覽器執行任意 JavaScript 程式碼。當 RabbitMQ 節點上的虛擬主機無法啟動時最新版本的管理 UI 會顯示錯誤訊息 (通知)。錯誤訊息包含虛擬主機名稱其在開放原始碼 RabbitMQ 4.0.3 和 Tanzu RabbitMQ 4.0.3、 3.13.8之前並未逸出。如果攻擊使虛擬主機無法啟動並建立具有 XSS 程式碼片段的新虛擬主機名稱或變更磁碟上現有虛擬主機的名稱可在管理 UI (使用者的瀏覽器) 中觸發任意 JavaScript 程式碼執行。開放原始碼 RabbitMQ `4.0.3` 和 Tanzu RabbitMQ `4.0.3` 和 `3.13.8` 修補此問題。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RabbitMQ < 3.13.8 / 4.0.x < 4.0.3 XSS (GHSA-g58g-82mw-9m3p)

medium Nessus Plugin ID 235082

版本 1.3