CVE-2026-33696

n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. Versiyalar 2.14.1, 2.13.3 və 1.123.27-dən əvvəlki versiyalarda, iş axınlarını yaratmaq və ya dəyişdirmək icazəsi olan autentifikasiya olunmuş istifadəçi XML və GSuiteAdmin nodlarında prototip çirklənməsi (prototype pollution) boşluğunu istismar edə bilərdi. Nod konfiqurasiyasının bir hissəsi kimi xüsusi hazırlanmış parametrləri təqdim etməklə hücumçu `Object.prototype` üzərinə özünün idarə etdiyi dəyərləri yaza bilərdi. Hücumçu bu prototip çirklənməsindən n8n instansiyasında uzaqdan kodun icrasını (RCE) həyata keçirmək üçün istifadə edə bilərdi. Problem n8n versiyaları 2.14.1, 2.13.3 və 1.123.27-də düzəldilmişdir. İstifadəçilər boşluğu aradan qaldırmaq üçün bu versiyalardan birinə və ya daha yeni versiyaya yüksəltmə etməlidirlər. Yüksəltmə dərhal mümkün deyilsə, administratorlar aşağıdakı müvəqqəti tədbirləri nəzərdən keçirməlidirlər: iş axını yaratma və redaktə etmə icazələrini yalnız tam etibarlı istifadəçilərlə məhdudlaşdırmaq və/və ya `NODES_EXCLUDE` mühit dəyişəninə `n8n-nodes-base.xml` əlavə etməklə XML nodunu deaktiv etmək. Bu alternativ həllər riski tamamilə aradan qaldırmır və yalnız qısamüddətli yumuşaltma tədbirləri kimi istifadə edilməlidir.