CVE-2026-33663

n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. 2.14.1, 2.13.3 və 1.123.27 versiyalarından əvvəl, `global:member` roluna malik autentifikasiya olunmuş istifadəçi, n8n-in etibarlılıq (credential) boru kəmərindəki zəncirvari avtorizasiya boşluqlarından istifadə edərək eyni instansdakı digər istifadəçilərə məxsus ümumi HTTP etibarlılıqlarından (`httpBasicAuth`, `httpHeaderAuth`, `httpQueryAuth`) açıq mətn formatında gizli məlumatları oğurlaya bilərdi. Hücum, mülkiyyət və ya layihə əhatəsini tətbiq etməyən ad əsaslı etibarlılıq həll yolu ilə birlikdə, önicraetmə təsdiqi zamanı ümumi HTTP etibarlılıq növlərinin ötürülməsinə səbəb olan etibarlılıq icazə yoxlayıcısındakı yan keçmə mexanizmindən istifadə edir. Bu boşluqlar birlikdə member rolundakı istifadəçiyə başqa bir istifadəçinin etibarlılıq ID-sini müəyyən etməyə və həmin etibarlılığı avtorizasiyasız şifrəsizləşdirən və istifadə edən iş axınını icra etməyə imkan verir. Yerli inteqrasiya etibarlılıq növləri (məsələn, `slackApi`, `openAiApi`, `postgres`) bu problemdən təsirlənmir. Bu zəiflik yalnız Community Edition versiyasına təsir edir. Enterprise Edition-da iş axınının yaradılması və icrası üzrə əlavə icazə baryerləri mövcuddur ki, bunlar bu hücum zəncirini müstəqil olaraq bloklayır. Problem n8n-in 1.123.27, 2.13.3 və 2.14.1 versiyalarında düzəldilmişdir. İstifadəçilər zəifliyi aradan qaldırmaq üçün bu versiyalardan birinə və ya daha yeni versiyaya yüksəltmə etməlidirlər. Yüksəltmə dərhal mümkün deyilsə, administratorlar aşağıdakı müvəqqəti tədbirləri nəzərdən keçirməlidirlər: instansa girişini yalnız tam etibar edilən istifadəçilərlə məhdudlaşdırmaq və/və ya instansada saxlanılan etibarlılıqları audit etmək və ifşa ola biləcək hər hansı ümumi HTTP etibarlılıqlarını (`httpBasicAuth`, `httpHeaderAuth`, `httpQueryAuth`) yeniləmək. Bu alternativ həllər riski tamamilə aradan qaldırmır və yalnız qısamüddətli yumuşaltma tədbirləri kimi istifadə edilməlidir.