Pivotal RabbitMQ, 3.7 versions prior to 3.7.20 and 3.8 version prior to 3.8.1, contain two endpoints, federation and shovel, which do not properly sanitize user input. An authenticated, remote attacker with administrative access could craft a cross site scripting attack via the vhost or node name fields that could grant access to virtual hosts and policy management information.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2020:0553 advisory.

    RabbitMQ is an implementation of AMQP, the emerging standard for high     performance enterprise messaging. The RabbitMQ server is a robust and     scalable implementation of an AMQP broker.

    Security Fix(es):

    * not properly sanitized user input may lead to XSS (CVE-2019-11291)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Pivotal RabbitMQ、3.7.20より前の3.7バージョンおよび 3.8.1より前の3.8バージョンは2つのエンドポイント、フェデレーションとシャベルを含んでおり、ユーザーの入力を適切にサニタイズしません。管理者アクセス権を持つ認証されたリモートの攻撃者が、vhostまたはノード名フィールドを介してクロスサイトスクリプティング攻撃を仕掛け、仮想ホストへのアクセス権とポリシー管理情報へのアクセス権を付与する可能性があります。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートRedhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 0553 のアドバイザリに記載されている脆弱性の影響を受けます。

  - rabbitmq-server: ユーザー入力が適切にサニタイズされないと、XSS が発生する可能性があります (CVE-2019-11291)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Pivotal RabbitMQ 3.7 版的 3.7.20 之前版本和 3.8 的 3.8.1 之前版本包含 federation 和 shovel 兩個端點，其無法正確清理使用者提供的輸入。經驗證的遠端攻擊者若具備管理存取權，就能夠透過可授予虛擬主機和原則管理資訊存取權的 vhost 或節點名稱欄位發動跨網站指令碼攻擊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

版本低于 3.7.20 的 Pivotal RabbitMQ 3.7 和低于 3.8.1 的 3.8 所包含的两个端点（federation 和 shovel）未正确审查用户输入。拥有管理访问权限且经过身份验证的远程攻击者可通过 vhost 或节点名称字段构建跨站脚本攻击，进而获取虚拟主机和策略管理信息的访问权限。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 0553 公告中提及的一個弱點影響。

  - rabbitmq-server：未正確清理使用者輸入可能導致 XSS (CVE-2019-11291)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0553 公告中提及的漏洞的影响。

  -rabbitmq-server：未正确审查用户输入可能导致 XSS (CVE-2019-11291)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
144628	Pivotal RabbitMQ 3.7.x < 3.7.20 / 3.8.x < 3.8.1 Cross Site Scripting (XSS)	Nessus	Misc.	2020/12/29	2022/7/4	medium
170285	RHEL 8 : rabbitmq-server (RHSA-2020:0553)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/4	medium
144628	Pivotal RabbitMQ 3.7.x < 3.7.20 / 3.8.x < 3.8.1のクロスサイトスクリプティング（XSS）	Nessus	Misc.	2020/12/29	2022/7/4	medium
170285	RHEL 8: rabbitmq-server (RHSA-2020: 0553)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/4	medium
144628	Pivotal RabbitMQ 3.7.x < 3.7.20 / 3.8.x < 3.8.1 跨網站指令碼 (XSS)	Nessus	Misc.	2020/12/29	2022/7/4	medium
144628	Pivotal RabbitMQ 3.7.x < 3.7.20 / 3.8.x < 3.8.1 跨站脚本 (XSS) 漏洞	Nessus	Misc.	2020/12/29	2022/7/4	medium
170285	RHEL 8：rabbitmq-server (RHSA-2020：0553)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/4	medium
170285	RHEL 8：rabbitmq-server（RHSA-2020：0553)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/4	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium