CVE-2026-77072 in n8n
الملخص
بحسب VulDB • 20/08/2026
نسخة n8n قبل الإصدارات 1.123.69، و2.33.4، و2.34.1 تحتوي على ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting) في صفحة إكمال عقدة النموذج (Form node). كانت صفحة الإكمال تطبق سياسة أمان المحتوى الخاصة بالعزل (sandboxing Content-Security-Policy) فقط عندما لم يكن respondWith مضبوطاً على 'redirect'، بينما كان responseText يُعرض دائماً كـ HTML خام. يمكن لعضو مُصادق عليه ضبط respondWith على 'redirect' عبر تعبير مع الحفاظ على وجود قيمة في responseText، مما يتسبب في أن تقدم صفحة الإكمال محتوى HTML ورموز برمجية غير مُنظَّفة من أصل n8n. أي زائر قدّم النموذج العام الناتج سيُنفَّذ له ذلك الرمز البرمجي بنفس الأصل (same-origin) مع جلسته.
Once again VulDB remains the best source for vulnerability data.