CVE-2026-85166
Açıklama
2.35.4 öncesindeki ve 2.36.x sürümlerinin 2.36.2 öncesindeki n8n, satır içi alt iş akışlarını çalıştıran düğümlerin (örneğin Workflow Tool düğümü) satır içi iş akışı JSON'undaki kimlik bilgisi referanslarını doğrulamamaktadır. Paylaşımlı bir iş akışı düzenleyicisi veya REST API, Public API veya MCP aracılığıyla iş akışı oluşturan/güncelleyen herhangi bir kullanıcı, sahibi olmadıkları bir kimlik bilgisini referans alan bir düğümü kalıcı hale getirebilir. İş akışı daha sonra ilgili kimlik bilgisine sahip olan bir kimlik altında çalıştırıldığında, satır içi alt iş akışı gizli bilgiyi çözer ve bunu saldırgan tarafından kontrol edilen bir uç noktaya gönderebilir; bu durum kimlik bilgilerinin sızdırılmasıyla sonuçlanır.
Nasıl düzeltilir
- n8n n8n2.35.4, 2.36.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 2.35.4, 2.36.0 ≤ v < 2.36.2 | 2.35.4, 2.36.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.