CVE-2026-33749

n8n açık kaynaklı bir iş akışı otomasyon platformudur. 1.123.27, 2.13.3 ve 2.14.1 versiyonlarından önce, iş akışları oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir kullanıcı, dosya adı olmayan bir HTML ikili veri nesnesi üreten bir iş akışı hazırlayabilirdi. `/rest/binary-data` uç noktası, bu tür yanıtları `Content-Disposition` veya `Content-Security-Policy` başlıkları olmadan n8n kaynağı üzerinde satır içi olarak sunuyor ve böylece HTML'in tarayıcıda tam aynı kökenli JavaScript erişimiyle görüntülenmesine izin veriyordu. Ortaya çıkan URL'yi daha yüksek yetkilere sahip bir kullanıcıya göndererek, bir saldırgan kurbanın kimliği doğrulanmış oturumunda JavaScript çalıştırabilir; bu da iş akışlarının ve kimlik bilgilerinin sızdırılmasına, iş akışlarının değiştirilmesine veya yöneticiye yetki yükseltmeye olanak tanırdı. Sorun n8n 1.123.27, 2.13.3 ve 2.14.1 versiyonlarında düzeltilmiştir. Kullanıcılar, güvenlik açığını gidermek için bu versiyonlardan birine veya daha güncel bir sürüme yükseltmelidir. Yükseltmenin hemen yapılması mümkün değilse, yöneticiler aşağıdaki geçici önlemleri değerlendirmelidir: İş akışı oluşturma ve düzenleme izinlerini yalnızca tamamen güvenilen kullanıcılarla sınırlandırın ve/veya güvenilmeyen kullanıcıların ikili veri URL'lerine erişmesini önlemek için n8n örneğine olan ağ erişimini kısıtlayın. Bu geçici çözümler riski tamamen ortadan kaldırmaz ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.