RabbitMQ < 3.13.8 / 4.0.x < 4.0.3 XSS (GHSA-g58g-82mw-9m3p)

medium Nessus 插件 ID 235082

语言：

简介

远程主机上安装的应用程序受到漏洞的影响。

描述

RabbitMQ 是消息和流代理。 4.0.3 之前的版本容易遭受复杂攻击可能修改磁盘上的虚拟主机名然后使其不可恢复在磁盘上的其他文件修改可导致在管理 UI 用户的浏览器中执行任意 JavaScript 代码。当 RabbitMQ 节点上的虚拟主机无法启动时最近的版本将在管理 UI 中显示错误消息通知。错误消息包含在开源 RabbitMQ 之前未对其进行转义的虚拟主机名 4.0.3 和 Tanzu RabbitMQ 4.0.3、 3.13.8。使虚拟主机无法启动并使用 XSS 代码片段创建新的虚拟主机名称或者更改磁盘上现有虚拟主机名称的攻击可在管理 UI用户的浏览器中触发任意 JavaScript 代码执行。开源 RabbitMQ `4.0.3` 以及 Tanzu RabbitMQ `4.0.3` 和 `3.13.8` 修补程序导致该问题。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。