CVE-2025-61914
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. Versiyon 1.114.0 öncesinde, “Respond to Webhook” düğümü kullanıldığında n8n üzerinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti oluşabilir. Bu düğüm yürütülebilir betikler içeren HTML içeriğiyle yanıt verdiğinde, yük versiyon 1.103.0 ile getirilen beklenen sandbox içerisinde değil, doğrudan üst düzey pencerede yürütülebilir. Bu durum, iş akışı oluşturma izinlerine sahip kötü niyetli bir aktörün, n8n editör arayüzü bağlamında rastgele JavaScript yürütmesine olanak tanıyabilir. Bu sorun versiyon 1.114.0'da düzeltilmiştir. Bu soruna yönelik geçici çözümler; iş akışı oluşturma ve değiştirme ayrıcalıklarının yalnızca güvenilir kullanıcılarla sınırlandırılmasını, “Respond to Webhook” düğümünde güvenilmeyen HTML yanıtlarının kullanılmamasını ve yürütülebilir betikler içeren yanıtları filtrelemek için harici bir ters proxy veya HTML temizleyici (sanitizer) kullanılmasını içerir.
Nasıl düzeltilir
- n8n n8n1.114.0 ya da sonraki bir sürüm
- n8n1.114.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.114.0 | 1.114.0 |
| n8nnpm | v < 1.114.0 | 1.114.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.