CVE-2026-45707

n8n-MCP, yapay zeka asistanlarının n8n düğüm dokümantasyonuna, özelliklerine ve işlemlerine erişim sağlayan bir MCP sunucusudur. 2.51.2 sürümünden önce, ENABLE_MULTI_TENANT=true olduğunda, HTTP taşıma belgeleri hedef n8n örneğinin her istek için x-n8n-url / x-n8n-key başlıklarından seçildiğini belirtmektedir. Bu başlıkları atlayan veya bunlardan yalnızca birini sağlayan istekler, sessizce operatörün kendi n8n örneği için yapılandırılmış süreç düzeyindeki N8N_API_URL / N8N_API_KEY kimlik bilgilerine geri dönmekteydi. Sonuç olarak, kimliği doğrulanmış bir MCP kiracısı, n8n yönetim çağrılarının kendi örneği yerine operatörün örneğine karşı yürütülmesine neden olabilirdi. Bu durum, paylaşımlı çok kiracılı bir hizmet olarak çalıştırılan n8n-mcp'nin HTTP modu dağıtımlarını etkilemektedir. Tek kiracılı dağıtımlar (ENABLE_MULTI_TENANT ayarlanmamış veya false olanlar) etkilenmemektedir. Bu güvenlik açığı 2.51.2 sürümünde giderilmiştir.