CVE-2026-92587

n8n iş axınının avtomatlaşdırılması platformasıdır. 1.123.76, 2.37.7 və 2.38.2 versiyalarından əvvəlki versiyalarda Git düyünü nisbi uzaq URL-ni konfiqurasiya edilmiş repositoryPath-ə görə yoxlayır, lakin daha sonra git-i həmin yolu işçi kataloq kimi istifadə edərək çağırırdı; git əhatə edən repozitoriyanın ən üst səviyyəsinə qalxaraq eyni nisbi URL-ni oradan müəyyən edirdi. Konfiqurasiya edilmiş yoldan bir səviyyə aşağıda repozitoriya yerləşdirən autentifikasiya olunmuş istifadəçi (üzv), beləliklə, eyni URL sətirinin fayl giriş yoxlamasından keçməsini təmin edə bilərdi, halbuki git onu qum qutusundan (sandbox) kənarda müəyyən edirdi. Sonrakı fetch və ya pull əməliyyatı N8N_RESTRICT_FILE_ACCESS_TO-dan kənardakı git repozitoriyasını oxuyurdu və onun obyektlərini istifadəçinin öz repozitoriyasına birləşdirirdi, burada onların məzmunu yenidən oxuna bilərdi. Problem n8n 1.123.76, 2.37.7 və 2.38.2 versiyalarında düzəldilib; bu versiyalar qum qutusu yoxlamasını tətbiq etməzdən əvvəl uzaq istinadı git-in faktiki olaraq fəaliyyət göstərdiyi kataloqdan müəyyən edirlər. Müvəqqəti həll yolu kimi, NODES_EXCLUDE siyahısına n8n-nodes-base.git əlavə edilərək Git düyünü deaktiv edilə bilər.