CVE-2026-54309
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 2.25.7 ve 2.26.2 sürümlerinden önce, @n8n/mcp-browser HTTP taşıma modunda çalıştırıldığında, MCP uç noktası herhangi bir kimlik doğrulama olmaksızın oturum başlatma ve araç çağırma isteklerini kabul eder. Ağ üzerinden erişebilen herhangi bir istemci veya kullanıcı tarafından ziyaret edilen herhangi bir web sitesi, bir MCP oturumu kurabilir ve tarayıcı kontrol araçlarını çağırabilir. n8n AI Browser Bridge eklentisinin yüklü olduğu ve aktif bir tarayıcı bağlantısının bulunduğu durumlarda, kimliği doğrulanmamış bir çağrıcı; kullanıcının gerçek tarayıcı profiline karşı navigasyon, JavaScript değerlendirmesi ile çerez ve depolama erişimi dahil olmak üzere tarayıcı kontrol yeteneklerine erişebilir. Bu sorun yalnızca @n8n/mcp-browser bileşeninin HTTP taşıma (--transport http) ile çalıştırıldığı örnekleri etkiler. Bu güvenlik açığı 2.25.7 ve 2.26.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- n8n n8n2.25.7, 2.26.2 ya da sonraki bir sürüm
- n8n2.26.2, 2.25.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 2.25.7, 2.26.0 ≤ v < 2.26.2 | 2.25.7, 2.26.2 |
| n8nnpm | 2.26.0 ≤ v < 2.26.2, v < 2.25.7 | 2.26.2, 2.25.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.