CVE-2026-33663

n8n açık kaynaklı bir iş akışı otomasyon platformudur. 2.14.1, 2.13.3 ve 1.123.27 versiyonlarından önce, `global:member` rolüne sahip kimliği doğrulanmış bir kullanıcı, n8n'in kimlik bilgisi hattındaki zincirleme yetkilendirme hatalarını kullanarak aynı örnekteki diğer kullanıcılara ait genel HTTP kimlik bilgilerinden (`httpBasicAuth`, `httpHeaderAuth`, `httpQueryAuth`) düz metin sırları çalabilirdi. Saldırı, sahiplik veya proje kapsamını zorunlu kılmayan isim tabanlı bir kimlik bilgisi çözümleme yolunun, kimlik bilgileri izin denetleyicisindeki ve yürütme öncesi doğrulama sırasında genel HTTP kimlik bilgisi türlerinin atlanmasına neden olan bir baypas ile birlikte kötüye kullanılmasına dayanmaktadır. Bu hatalar birlikte, üye rolündeki bir kullanıcının başka bir kullanıcının kimlik bilgisi ID'sini çözümlemesine ve bu kimlik bilgisini yetkisiz olarak çözen ve kullanan bir iş akışını yürütmesine olanak tanır. Yerel entegrasyon kimlik bilgisi türleri (örneğin `slackApi`, `openAiApi`, `postgres`) bu sorundan etkilenmemektedir. Bu güvenlik açığı yalnızca Community Edition sürümünü etkilemektedir. Enterprise Edition, iş akışı oluşturma ve yürütme üzerinde bu saldırı zincirini bağımsız olarak engelleyen ek izin kapılarına sahiptir. Sorun; n8n 1.123.27, 2.13.3 ve 2.14.1 versiyonlarında giderilmiştir. Kullanıcılar, güvenlik açığını gidermek için bu versiyonlardan birine veya daha güncel bir sürüme yükseltme yapmalıdır. Yükseltmenin hemen mümkün olmadığı durumlarda, yöneticiler aşağıdaki geçici önlemleri değerlendirmelidir: Örnek erişimini yalnızca tamamen güvenilir kullanıcılarla sınırlandırın ve/veya örnekte saklanan kimlik bilgilerini denetleyin ve ifşa olmuş olabilecek tüm genel HTTP kimlik bilgilerini (`httpBasicAuth`, `httpHeaderAuth`, `httpQueryAuth`) döndürün. Bu geçici çözümler riski tamamen ortadan kaldırmaz ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.