CVE-2026-42235
Təsvir
n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. 1.123.32, 2.17.4 və 2.18.1 versiyalarından əvvəl autentifikasiya olunmamış hücumçu, xüsusi hazırlanmış client_name ilə zərərli MCP OAuth klientini qeydiyyatdan keçirə bilərdi. Əgər qurban istifadəçi OAuth razılıq dialoqunu təsdiqləsə və daha sonra ikinci bir istifadəçi həmin girişi ləğv etsə, bildiriş (toast notification) vasitəsilə injeksiya edilmiş skript işə düşərdi. Linkə klikləmək qurbanın autentifikasiya olunmuş n8n brauzer sessiyasında ixtiyari JavaScript kodunun icrasına səbəb olaraq etibarnamələrin və sessiya tokenlərinin oğurlanmasına, iş axınının manipulyasiyasına və ya imtiyazların yüksəldilməsinə şərait yaradardı. Bu problem 1.123.32, 2.17.4 və 2.18.1 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- n8n n8n1.123.32, 2.17.4 və ya daha yeni versiya
- n8n1.123.32, 2.18.1, 2.17.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| n8n n8n | v < 1.123.32, 2.17.0 ≤ v < 2.17.4, 2.18.0 | 1.123.32, 2.17.4 |
| n8nnpm | v < 1.123.32, 2.18.0 ≤ v < 2.18.1, 2.17.0 ≤ v < 2.17.4 | 1.123.32, 2.18.1, 2.17.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.