CVE-2026-33751

n8n açık kaynaklı bir iş akışı otomasyon platformudur. 1.123.27, 2.13.3 ve 2.14.1 versiyonlarından önce, LDAP düğümünün filtre kaçış mantığındaki bir hata, kullanıcı kontrollü girdiler LDAP arama filtrelerine yerleştirildiğinde LDAP meta karakterlerinin kaçırılmadan geçmesine izin veriyordu. Harici kullanıcı girdilerinin ifadeler aracılığıyla LDAP düğümünün arama parametrelerine aktarıldığı iş akışlarında, bir saldırgan oluşturulan filtreyi manipüle ederek istenmeyen LDAP kayıtlarını alabilir veya iş akışında uygulanan kimlik doğrulama kontrollerini atlayabilirdi. İstismar için belirli bir iş akışı yapılandırması gereklidir; LDAP düğümü, ifadeler yoluyla iletilen kullanıcı kontrollü girdilerle (örneğin bir formdan veya webhook'tan) birlikte kullanılmalıdır. Sorun n8n 1.123.27, 2.13.3 ve 2.14.1 versiyonlarında düzeltilmiştir. Kullanıcılar, güvenlik açığını gidermek için bu versiyonlardan birine veya daha güncel bir sürüme yükseltme yapmalıdır. Yükseltmenin hemen mümkün olmadığı durumlarda, yöneticiler aşağıdaki geçici önlemleri değerlendirmelidir: İş akışı oluşturma ve düzenleme izinlerini yalnızca tamamen güvenilir kullanıcılarla sınırlandırın, `NODES_EXCLUDE` ortam değişkenine `n8n-nodes-base.ldap` ekleyerek LDAP düğümünü devre dışı bırakın ve/veya doğrulanmamış harici kullanıcı girdilerini ifadeler aracılığıyla LDAP düğümü arama parametrelerine aktarmaktan kaçının. Bu geçici çözümler riski tamamen gidermez ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.