CVE-2026-85167

Orta

Açıklama

2.35.4 öncesindeki ve 2.36.x serisinin 2.36.2 öncesindeki n8n sürümleri, JSON sorgularını ayrıştırmadan önce ifade değerlerini doğrudan sorgu dizesine ekleyerek oluşturan Elasticsearch Document Get All ve Google Cloud Firestore Document Query işlemlerinde bir sorgu enjeksiyonu zafiyeti içermektedir. Tırnak ve süslü parantez karakterleri içeren bir değer, hedeflenen alanı kapatıp yeni sorgu operatörleri ekleyebilir ve böylece tek bir belge aramasını tüm koleksiyonun okunmasına dönüştürebilir.

ÖnemOrta

CVSS6.5

İstismar olasılığı—

Ürün

N8n

Yayın3 Eyl 2026

İlk görülme3 Eyl 2026

Zayıflık türüCWE-943CWE-943

Nasıl düzeltilir

Güncelleyin

n8n n8n2.35.4, 2.36.2 ya da sonraki bir sürüm

Üretici duyuruları

github.com/n8n-io/n8n/security/advisories/GHSA-wxwj-8wv6-vpw2

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
n8n n8n	v < 2.35.4, 2.36.0 ≤ v < 2.36.2	2.35.4, 2.36.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.