CVE-2026-42282

n8n-MCP, süni intellekt assistentlərinə n8n nod sənədləri, xüsusiyyətləri və əməliyyatlarına giriş imkanı verən bir MCP serveridir. Versiya 2.47.13-dən əvvəl, n8n-mcp HTTP transport rejimində işlədikdə, autentifikasiya olunmuş MCP alətləri/çağırış sorğularının bütün arqumentləri və JSON-RPC parametrləri hər hansı redaktə prosesindən əvvəl sorğu dispatcheri və bir neçə paralel kod yolları tərəfindən server loqlarına yazılırdı. Alət çağırışı etibarlılıq məlumatlarını — xüsusilə n8n_manage_credentials.data — daşıdıqda, xam dəyərlər loqlarda saxlanıla bilər. Loqların toplandığı, xarici sistemlərə ötürüldüyü və ya sorğu etibar sərhədinin xaricindən görünə bildiyi (ortaq loq anbarı, SIEM boru kəmərləri, dəstək/ops girişi) tətbiqlərdə bu, aşağıdakıların ifşasına səbəb ola bilər: n8n_manage_credentials vasitəsilə göndərilən bearer token-lər və OAuth etibarlılıqları, alət arqumentlərinə daxil edilmiş hər bir tenant üçün API açarları və webhook autentifikasiya başlıqları, istənilən MCP alətinə ötürülmüş sirr ehtiva edən ixtiyari fayllar (payloads). Problem autentifikasiya tələb edir (server tərəfindən qəbul edilən AUTH_TOKEN), buna görə də autentifikasiya olunmamış çağırıcılar bunu tetikləyə bilməzlər; runtime ifşası HTTP rejimində mövcud olan konsol-sakitləşdirmə layı ilə də azaldılmışdır, lakin həmin lay zəifdir və dəyərlər hələ də konstruksiya edilir və loqqera ötürülür. Bu problem versiya 2.47.13-də aradan qaldırılmışdır.