CVE-2026-33722
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 2.6.4 ve 1.123.23 versiyonlarından önce, harici sırları listeleme izni olmayan kimliği doğrulanmış bir kullanıcı, bir kimlik bilgisi içerisindeki harici adı kullanarak bir sırra referans verebilir ve kimlik bilgisini kaydederken bu sırrın düz metin değerini elde edebilirdi. Bu durum, `externalSecret:list` izin kontrolünün atlatılmasına neden olarak yönetici veya sahip ayrıcalıkları olmaksızın bağlı kasalarda saklanan sırlara erişime izin veriyordu. Bu sorunun ortaya çıkması için örneğin yapılandırılmış bir harici sırlar kasasına sahip olması gerekir. Saldırganın hedef sırrın adını bilmesi veya tahmin edebilmesi gerekmektedir. Sorun n8n 1.123.23 ve 2.6.4 versiyonlarında giderilmiştir. Kullanıcılar, güvenlik açığını gidermek için bu versiyonlardan birine veya daha güncel bir sürüme yükseltme yapmalıdır. Yükseltmenin hemen mümkün olmadığı durumlarda yöneticiler aşağıdaki geçici önlemleri değerlendirmelidir: n8n erişimini yalnızca tamamen güvenilen kullanıcılarla sınırlandırmak ve/veya yama uygulanana kadar harici sırlar entegrasyonunu devre dışı bırakmak. Bu geçici çözümler riski tamamen ortadan kaldırmaz ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.
Nasıl düzeltilir
- n8n n8n1.123.23, 2.6.4 ya da sonraki bir sürüm
- n8n1.123.23, 2.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.23, 2.0.0 ≤ v < 2.6.4 | 1.123.23, 2.6.4 |
| n8nnpm | v < 1.123.23, 2.0.0-rc.0 ≤ v < 2.6.4 | 1.123.23, 2.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.