CVE-2026-54306
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 2.25.7 ve 2.26.2 sürümlerinden önce mevcut olan bir prototype pollution zafiyeti, özel olarak hazırlanmış bir genel webhook yükünün, dahili nesne kopyalama sırasında iş akışı verilerine saldırgan tarafından kontrol edilen alanlar enjekte etmesine izin veriyordu. Bu alanlar, sonraki yerleşik düğümler tarafından normal değerler olarak görüntülenebilir ve tüketilebilirdi. Bir iş akışının, genel bir webhook ile sonuçlanan alanları tüketen işlem düğümlerini birleştirdiği durumlarda; bir saldırgan, iş akışının bir "confused deputy" gibi davranmasına neden olarak istenmeyen kayıtları hedefleyebilir veya iş akışı sahibinin yapılandırılmış kimlik bilgilerini kullanarak dışa doğru istekler gönderebilirdi. Bu zafiyet 2.25.7 ve 2.26.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- n8n n8n2.25.7, 2.26.2 ya da sonraki bir sürüm
- n8n2.26.2, 2.25.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 2.25.7, 2.26.0 ≤ v < 2.26.2 | 2.25.7, 2.26.2 |
| n8nnpm | 2.26.0 ≤ v < 2.26.2, v < 2.25.7 | 2.26.2, 2.25.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.