CVE-2026-54305
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 1.123.55, 2.25.7 ve 2.26.2 sürümlerinden önce, Dynamic Credentials özelliği tarafından kullanılan üç EE uç noktası, hedef iş akışı veya kimlik bilgisi üzerinde kaynak bazlı sahiplik veya kapsam kontrolleri yapmadan herhangi bir kimliği doğrulanmış n8n oturumunu kabul ediyordu. Herhangi bir proje üyeliği veya kimlik bilgisi paylaşım ilişkisi olmayan kimliği doğrulanmış bir kullanıcı; örnekteki herhangi bir özel iş akışında referans verilen kimlik bilgisi tanımlayıcılarını, adlarını ve türlerini listeleyebilir, başka bir kullanıcının kimlik bilgisine karşı bir OAuth yetkilendirme akışı başlatarak saklanan belirteçleri kendi kontrolündeki bir hesaba bağlı belirteçlerle değiştirebilir veya başka bir kullanıcının saklanan kimlik bilgisi belirteçlerini tamamen iptal edebilirdi. Ele geçirilmiş bir kimlik bilgisine güvenen iş akışları daha sonra saldırganın OAuth kimliği altında yürütülürdü; bu da verilerin saldırgan kontrollü harici servislere sızdırılmasına ve entegrasyonların kalıcı olarak ele geçirilmesine olanak tanırdı. Belirteç iptali ise etkilenen iş akışlarının bozulmasına neden olurdu. Bu güvenlik açığı 1.123.55, 2.25.7 ve 2.26.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- n8n n8n1.123.55, 2.25.7, 2.26.2 ya da sonraki bir sürüm
- n8n1.123.55, 2.26.2, 2.25.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.55, 2.0.0 ≤ v < 2.25.7, 2.26.0 ≤ v < 2.26.2 | 1.123.55, 2.25.7, 2.26.2 |
| n8nnpm | v < 1.123.55, 2.26.0 ≤ v < 2.26.2, 2.0.0-rc.0 ≤ v < 2.25.7 | 1.123.55, 2.26.2, 2.25.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.