CVE-2026-42227
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 1.123.32, 2.17.4 ve 2.18.1 versiyonlarından önce, variable:list kapsamında geçerli bir API anahtarına sahip kimliği doğrulanmış bir kullanıcı, genel API variables uç noktasına rastgele bir projectId sorgu parametresi göndererek üyesi olmadıkları projelerdeki değişkenleri okuyabiliyordu. İşleyici, dahili kurumsal denetleyici tarafından kullanılan yetkilendirme duyarlı servis katmanını atlayarak proje üyeliği kontrollerini uygulamadan doğrudan değişkenler deposunu sorguluyordu. Değişkenler; kimlik bilgileri veya token'lar gibi hassas bilgileri depolamak için yanlış kullanılmışsa, bunlar derhal yenilenmelidir. Bu sorun yalnızca birden fazla projesi olan ve değişkenler özelliği etkinleştirilmiş lisanslı kurumsal veya ekip dağıtımlarını etkilemektedir. Bu sorun 1.123.32, 2.17.4 ve 2.18.1 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- n8n n8n1.123.32, 2.17.4 ya da sonraki bir sürüm
- n8n1.123.32, 2.18.1, 2.17.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.32, 2.17.0 ≤ v < 2.17.4, 2.18.0 | 1.123.32, 2.17.4 |
| n8nnpm | v < 1.123.32, 2.18.0 ≤ v < 2.18.1, 2.0.0 ≤ v < 2.17.4 | 1.123.32, 2.18.1, 2.17.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.