CVE-2026-41701
Publiée le 2026-06-10 · Dernière modification le 2026-10-01
Les applications utilisant Spring AMQP avec une file d'attente de réponse fixe sont affectées par des identifiants de corrélation prévisibles. Un attaquant disposant déjà de privilèges élevés et d'un accès réseau peut deviner ces identifiants pour intercepter ou usurper des messages envoyés entre les services. Cette attaque est difficile à exécuter car elle nécessite un accès interne spécifique et une grande complexité pour synchroniser l'attaque correctement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Correlation IDs for replies in the RabbitTemplate.sendAndReceive() with the fixed reply queue are predictable due to internal simple counter. Affected versions: Spring AMQP 4.0.0 through 4.0.3; 3.2.0 through 3.2.10; 3.1.0 through 3.1.15; 2.4.0 through 2.4.17.