Към съдържанието
Търсене

CVE-2026-85166: n8n-io n8n, заобикаляне на вход и права

7.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

n8n before 2.35.4 and 2.36.x before 2.36.2 does not validate credential references in the inline workflow JSON of nodes that execute an inline sub-workflow (e.g., the Workflow Tool node). A shared-workflow editor, or any user creating/updating a workflow via the REST API, Public API, or MCP, can persist a node referencing a credential they do not own. When the workflow is later executed under an identity that holds the credential, the inline sub-workflow resolves the secret and can send it to an attacker-controlled endpoint, resulting in credential exfiltration.

Засегнати продукти

  • n8n-io n8n: 2.36.0 преди 2.36.2; 2.36.2
  • n8n-io n8n: преди 2.35.4; 2.35.4

Вид слабост

История

  • 3 септември 2026 Публикувано

Други уязвимости в n8n-io n8n

Първоизточници

CVE-2026-85166: n8n-io n8n, заобикаляне на вход и права | freedomonline.bg