CVE-2026-42227 in n8n
Zusammenfassung
von VulDB • 27.05.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 1.123.32, 2.17.4 und 2.18.1 konnte ein authentifizierter Benutzer mit einem gültigen API-Schlüssel, der auf variable:list beschränkt ist, Variablen aus Projekten lesen, denen er nicht angehört, indem er einen beliebigen projectId-Abfrageparameter an den öffentlichen API-Endpunkt für Variablen übermittelte. Der Handler fragte das Variablen-Repository direkt ab, ohne Projektmitgliedschaftsüberprüfungen durchzusetzen, und umging damit die autorisierungsbewusste Dienstschicht, die vom internen Enterprise-Controller verwendet wird. Wenn Variablen missbräuchlich zur Speicherung sensibler Informationen wie Anmeldeinformationen oder Token verwendet wurden, sollten diese unverzüglich rotiert werden. Dieses Problem betrifft nur lizenzierte Enterprise- oder Team-Deployments mit mehreren Projekten und aktivierter Variablenfunktion. Dieses Problem wurde in den Versionen 1.123.32, 2.17.4 und 2.18.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.