CVE-2025-52478
Açıklama
n8n bir iş akışı otomasyon platformudur. 1.77.0 ile 1.98.2 versiyonları arasında, özellikle Form Trigger düğümünün HTML form öğesinde saklı bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti tespit edilmiştir. Kimliği doğrulanmış bir saldırgan, rastgele JavaScript yürütme içeren bir srcdoc yüküne sahip bir <iframe> aracılığıyla kötü amaçlı HTML enjekte edebilir. Saldırgan ayrıca, bir onerror olayı kullanan <video> ve beraberindeki <source> etiketlerini kullanarak kötü amaçlı JavaScript enjekte edebilir. iframe veya video ve source etiketi kombinasyonunun kullanımıyla bu zafiyet, kötü amaçlı olarak oluşturulmuş bir formu ziyaret eden kimliği doğrulanmış kullanıcılardan n8n-browserId ve oturum çerezlerini sızdırarak Hesap Ele Geçirme (ATO) işlemine olanak tanır. Bu token ve çerezleri kullanan bir saldırgan, kurbanın kimliğine bürünebilir ve e-posta adresleri gibi hesap ayrıntılarını değiştirerek —özellikle 2FA etkin değilse— hesap üzerinde tam kontrol sağlayabilir. Kullanıcıların >= 1.98.2 versiyonuna yükseltme yapmaları önerilir.
Nasıl düzeltilir
- n8n n8n1.98.2 ya da sonraki bir sürüm
- n8n1.98.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | 1.77.0 ≤ v < 1.98.2 | 1.98.2 |
| n8nnpm | 1.77.0 ≤ v < 1.98.2 | 1.98.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.