CVE-2026-42230 in n8n
Zusammenfassung
von VulDB • 13.05.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 1.123.32, 2.17.4 und 2.18.1 akzeptierte der Endpunkt /mcp-oauth/register OAuth-Client-Registrierungen ohne Authentifizierung, wodurch beliebige redirect_uri-Werte registriert werden konnten. Wenn ein Benutzer das MCP-OAuth-Zustimmungsdialogfeld ablehnt, leitet der handleDeny-Handler den Benutzer ohne Validierung zur registrierten redirect_uri weiter, was eine offene Weiterleitung (Open Redirect) zu einer vom Angreifer kontrollierten URL ermöglicht. Ein Angreifer kann einen Phishing-Link erstellen und an ein Opfer senden; wenn das Opfer auf der Zustimmungsseite auf „Ablehnen“ klickt, wird es stillschweigend zu einer externen Site weitergeleitet. Dieses Problem wurde in den Versionen 1.123.32, 2.17.4 und 2.18.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.