CVE-2026-54305

n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. 1.123.55, 2.25.7 və 2.26.2 versiyalarından əvvəl Dynamic Credentials funksiyası tərəfindən istifadə edilən üç EE endpoint hədəf iş axını və ya etimadnamə üzərində resurs üzrə sahiblik və ya əhatə yoxlamaları aparmadan istənilən autentifikasiya olunmuş n8n sessiyasını qəbul edirdi. Layihə üzvlüyü və ya etimadnamə paylaşma əlaqəsi olmayan autentifikasiya olunmuş istifadəçi instansiyadakı istənilən şəxsi iş axını tərəfindən istinad edilən etimadnamə identifikatorlarını, adlarını və növlərini sadalaya, başqa istifadəçinin etimadnaməsinə qarşı OAuth avtorizasiya axını başladaraq onun saxlanılan tokenlərini özünün nəzarət etdiyi hesaba bağlanmış tokenlərlə əvəz edə və ya başqa istifadəçinin saxlanılan etimadnamə tokenlərini tamamilə ləğv edə bilərdi. Oğurlanmış etimadnaməyə əsaslanan iş axınları sonradan hücumçunun OAuth kimliyi altında icra olunurdu ki, bu da hücumçunun nəzarət etdiyi xarici xidmətlərə məlumatların çıxarılmasına və inteqrasiyaların davamlı ələ keçirilməsinə imkan verirdi. Token ləğvi təsirlənmiş iş axınlarını poza bilərdi. Bu zəiflik 1.123.55, 2.25.7 və 2.26.2 versiyalarında düzəldilmişdir.