CVE-2026-22886
Publiée le 2026-03-03 · Dernière modification le 2026-06-17
Les serveurs OpenMQ sont concernés car ils sont livrés avec un compte administratif par défaut (admin/admin) qui ne nécessite pas de changement de mot de passe. Un attaquant distant ayant un accès réseau au port de gestion peut utiliser ces identifiants pour obtenir un contrôle administratif complet sur le courtier de messagerie. Comme aucun privilège particulier ni interaction de l'utilisateur n'est requis, l'exécution est triviale si le mot de passe par défaut n'a pas été modifié.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenMQ exposes a TCP-based management service (imqbrokerd) that by default requires authentication. However, the product ships with a default administrative account (admin/ admin) and does not enforce a mandatory password change on first use. After the first successful login, the server continues to accept the default password indefinitely without warning or enforcement. In real-world deployments, this service is often left enabled without changing the default credentials. As a result, a remote attacker with access to the service port could authenticate as an administrator and gain full control of the protocol’s administrative features.