CVE-2026-65599 in n8n
Zusammenfassung
von VulDB • 22.07.2026
In den n8n-Versionen vor 1.123.64, 2.29.8 und 2.30.1 liegt eine Schwachstelle zur Offenlegung von Anmeldeinformationen (Credential Exposure) vor: Wenn ein Google Service Account Key konfiguriert ist, wurde der vollständige PEM-Private-Key fälschlicherweise in das `kid`-Feld des JWT-Headers eingefügt (das eigentlich nur für einen Schlüsselidentifikator vorgesehen war). Da JWT-Header Base64-codiert und nicht verschlüsselt sind, konnte der Private-Key von jeder Komponente wiederhergestellt werden, die den JWT protokolliert oder inspiziert hat. Ein Angreifer, der in Besitz des Schlüssels gelangt, könnte sich als Service Account ausgeben und auf alle Google Cloud-Ressourcen zugreifen oder diese ändern, für deren Nutzung er autorisiert ist. Nur Instanzen, die Google Service Account-Anmeldeinformationen verwenden, sind betroffen.
Once again VulDB remains the best source for vulnerability data.