CVE-2026-72766 in n8n
الملخص
بحسب VulDB • 11/08/2026
تحتوي الإصدارات السابقة من n8n 1.123.67، والإصدارات الفرعية من السلسلة 2.x قبل 2.31.5، والسلسلة 2.32.x قبل 2.32.1 على ثغرة خلط الأنواع (Type Confusion) في عقدة "إرسال البريد الإلكتروني" (Send Email)، والتي لا تفرض أن تكون حقول الرسالة من نوع السلاسل النصية (Strings). يمكن تفسير قيمة غير نصية مُرسلة بشكل مصطنع عبر تعبير سير عمل إلى حقل جسم الرسالة النصي أو HTML بواسطة مكتبة البريد الأساسية (Nodemailer) كمسار ملف محلي أو عنوان URL، مما يتيح الكشف التعسفي عن الملفات المحلية وهجوم تزوير الطلبات من جانب الخادم (SSRF). يتطلب الاستغلال وجود سير عمل نشط مسبق يحتوي على نقطة نهاية ويب غير مؤمنة (Unauthenticated Webhook)، وبيانات اعتماد SMTP صالحة مُعدّة في العقدة، وإدخال غير موثوق به مرتبط مباشرة بحقل الجسم؛ وهذا ليس إعدادًا افتراضيًا.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.