CVE-2026-65596
Açıklama
n8n 1.123.64, 2.29.8 ve 2.30.1 sürümlerinden önceki versiyonlarda, HTTP Request düğümünün aksine, GraphQL düğümündeki HTTP tabanlı kimlik bilgileri (Header Auth, Basic Auth, Query Auth, OAuth) için "Allowed HTTP Request Domains" kısıtlaması uygulanamamaktadır. İş akışları oluşturabilen veya düzenleyebilen kimliği doğrulanmış bir kullanıcı, düğümün uç noktasını kendi kontrol ettiği bir sunucuya yönlendirerek kısıtlanmış kimlik bilgilerini sızdırabilir. Yalnızca bir kimlik bilgisinin "Allowed HTTP Request Domains" yapılandırmasına sahip olduğu ve sahibi olmayan kullanıcılar tarafından kullanılabildiği örnekler etkilenmektedir.
Nasıl düzeltilir
- n8n n8n1.123.64, 2.29.8 ya da sonraki bir sürüm
- n8n1.123.64, 2.30.1, 2.29.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.64, 2.0.0 ≤ v < 2.29.8, 2.30.0 | 1.123.64, 2.29.8 |
| n8nnpm | v < 1.123.64, 2.30.0 ≤ v < 2.30.1, 2.0.0 ≤ v < 2.29.8 | 1.123.64, 2.30.1, 2.29.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.