CVE-2026-65595
Açıklama
2.30.1 ve 2.29.8 sürümlerinden önceki n8n, işlem yapan kullanıcının rolüne bakılmaksızın Token Exchange modülü aracılığıyla düzenlenen JWT'lere tüm Public API anahtar kapsamlarını atamaktadır. Token Exchange özelliğinin ve Public API'nin etkin olduğu örneklerde, yapılandırılmış bir yayıncı tarafından güvenilen geçerli bir harici JWT edinebilen düşük yetkili bir kullanıcı; ortaya çıkan erişim belirtecini kullanarak rol yükseltme, kullanıcı oluşturma ve kullanıcı silme gibi yalnızca yöneticiye özel Public API işlemlerini gerçekleştirebilir (rol yükseltme için Advanced Permissions lisansı gereklidir) ve doğrulanmamış Community Package kurulumu etkin olduğunda uzaktan kod çalıştırma sağlayabilir.
Nasıl düzeltilir
- n8n n8n2.29.8 ya da sonraki bir sürüm
- n8n2.30.1, 2.29.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 2.29.8, 2.30.0 | 2.29.8 |
| n8nnpm | 2.30.0 ≤ v < 2.30.1, v < 2.29.8 | 2.30.1, 2.29.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.