CVE-2026-54309

n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. 2.25.7 və 2.26.2 versiyalarından əvvəl @n8n/mcp-browser HTTP transport rejimində işlədildikdə MCP endpoint sessiya inisializasiyası və alət çağırışı sorğularını heç bir autentifikasiya olmadan qəbul edir. Şəbəkədən əlçatan olan istənilən müştəri və ya istifadəçinin ziyarət etdiyi istənilən veb-sayt MCP sessiyası qura və brauzerə nəzarət alətlərini çağıra bilər. n8n AI Browser Bridge genişlənməsinin quraşdırıldığı və brauzer bağlantısının aktiv olduğu hallarda autentifikasiyadan keçməmiş çağıran istifadəçinin real brauzer profilinə qarşı naviqasiya, JavaScript qiymətləndirməsi, həmçinin cookie və yaddaşa giriş daxil olmaqla brauzerə nəzarət imkanlarına çıxış əldə edə bilər. Bu problem yalnız @n8n/mcp-browser-ın HTTP transport ilə (--transport http) işlədildiyi instansiyalara təsir edir. Bu zəiflik 2.25.7 və 2.26.2 versiyalarında düzəldilib.