CVE-2026-106123— RabbitMQ Java 客户端 ConnectionFactoryConfigurator.load() 凭据泄露漏洞
一分钟漏洞结论
影响对象
rabbitmq rabbitmq-java-client
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
RabbitMQ Java 客户端库允许 Java 和基于 JVM 的应用程序连接并与 RabbitMQ 节点进行交互。在 5.35.0 版本之前，当 AMQP URI 解析失败时， 方法会在包装后的异常中包含原始的 URI 值。由于 URI 中可能包含明文的用户名和密码，启动日志、应用性能监控系统（APM）、持续集成（CI）日志以及复制的堆栈跟踪信息都可能将代理（broker）的凭据泄露给不应访问这些凭据的用户。该问题已在 5.35.0 版本中修复。
可能的 ATT&CK 技术 1 AI
T1530 · Data from Cloud Storage影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| com.rabbitmq | amqp-client | < 5.35.0 |
affected |
| rabbitmq | rabbitmq-java-client | < 5.35.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-106123 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
RabbitMQ Java client: plaintext broker credentials leaked in exception message from ConnectionFactoryConfigurator.load()
来源: CVE Program / CVE List V5
Vulnerability Description
The RabbitMQ Java client library allows Java and JVM-based applications to connect to and interact with RabbitMQ nodes. Prior to 5.35.0, ConnectionFactoryConfigurator.load() includes the raw uri value in wrapped exceptions when AMQP URI parsing fails. Because the URI may contain a plaintext username and password, startup logs, application performance monitoring systems, CI logs, and copied stack traces can disclose broker credentials to users who should not have access to them. This issue is fixed in version 5.35.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
具传播性的恶意代码(病毒或蠕虫)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| rabbitmq | rabbitmq-java-client | < 5.35.0 | - |
|
| com.rabbitmq | amqp-client | < 5.35.0 | - |
|
二、漏洞 CVE-2026-106123 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-106123 的情报信息
请登录查看更多情报信息。
CVE-2026-106123 其他参考 (4)
-
https://github.com/rabbitmq/rabbitmq-java-client/pull/2052 x_refsource_MISC
同批安全公告 · rabbitmq · 2026-10-06 · 共 3 条
| CVE-2026-106122 | 6.0 MEDIUM | RabbitMQ短字符串属性中 malformed UTF-8导致RPC消费者永久禁用漏洞 |
| CVE-2026-106121 | 4.9 MEDIUM | RabbitMQ JSON-RPC映射器截断输入导致拒绝服务漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-106123
暂无评论