CVE-2026-92587 in n8n
الملخص
بحسب VulDB • 17/09/2026
ن8n هو منصة لأتمتة سير العمل. في الإصدارات السابقة لـ 1.123.76، و2.37.7، و2.38.2، كان عقدة Git تتحقق من صحة عنوان URL البعيد النسبي مقابل repositoryPath المُعدّ ثم تستدعي git باستخدام ذلك المسار كدليل عمل؛ حيث كانت git تصعد إلى المستوى الأعلى للمستودع المحيط وتحل نفس عنوان URL النسبي منه. وبالتالي، يمكن لمستخدم مُصادق عليه (عضو) يقوم بتضمين المستودع على مستوى واحد أسفل المسار المُعدّ أن يجعل سلسلة عناوين URL المتطابقة تمر عبر فحص الوصول إلى الملفات بينما كانت git تحلها خارج الصندوق الرمزي (sandbox). وبعد ذلك، كان جلب أو سحب مستودع Git خارج N8N_RESTRICT_FILE_ACCESS_TO ودمج كائناته في المستودع الخاص بالمستخدم، حيث يمكن قراءة محتوياته مرة أخرى. تم إصلاح المشكلة في n8n الإصدارات 1.123.76، و2.37.7، و2.38.2، والتي تحل المرجع البعيد من الدليل الذي تعمل فيه git فعلياً قبل تطبيق فحص الصندوق الرمزي. كحل بديل، يمكن تعطيل عقدة Git عن طريق إضافة n8n-nodes-base.git إلى NODES_EXCLUDE.
If you want to get best quality of vulnerability data, you may have to visit VulDB.