CVE-2026-56776
Açıklama
1.123.55, 2.25.7 ve 2.26.2 sürümlerinden önceki n8n, POST /workflows/{workflowId}/test-runs/new uç noktasında, erişimi workflow:execute yerine workflow:read kapsamını kullanarak yetkilendiren bir kimlik doğrulama atlatma zafiyeti içermektedir. Bir iş akışına salt okunur erişimi olan kimliği doğrulanmış bir kullanıcı, gerçek bir değerlendirme test çalışmasını tetikleyebilir; bu durum iş akışının dahili iş akışı çalıştırıcısı aracılığıyla yürütülmesine neden olarak bağlı alt sistemlerde istenmeyen giden API çağrılarına, veri mutasyonlarına veya diğer yan etkilere yol açabilir. Sorun öncelikle, RBAC proje rollerinin workflow:execute olmadan workflow:read yetkisi verdiği Evaluations özelliğini kullanan örnekleri etkilemektedir.
Nasıl düzeltilir
- n8n n8n1.123.55, 2.25.7, 2.26.2 ya da sonraki bir sürüm
- n8n1.123.55, 2.26.2, 2.25.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.55, 2.0.0 ≤ v < 2.25.7, 2.26.0 ≤ v < 2.26.2 | 1.123.55, 2.25.7, 2.26.2 |
| n8nnpm | v < 1.123.55, 2.26.0 ≤ v < 2.26.2, 2.0.0-rc.0 ≤ v < 2.25.7 | 1.123.55, 2.26.2, 2.25.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.