CVE-2026-72764 in n8n
Zusammenfassung
von VulDB • 11.08.2026
Der JavaScript-Aufgabenrunner von n8n teilte einen einzigen Modul-Cache über alle Code-Node-Ausführungen der Benutzer hinweg. In betroffenen Versionen (vor 1.123.67, 2.31.5 und 2.32.1) konnte ein Benutzer, der in der Lage war, einen Code-Knoten auszuführen, einen zwischengespeicherten Modul-Cache vergiften und dadurch die Ausführungen von Code-Knoten anderer Benutzer auf demselben Runner verändern, was deren Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigte. Dies stellt eine Unterbrechung der Isolierung zwischen verschiedenen Benutzern innerhalb einer einzelnen n8n-Instanz dar und stellt keinen Sandbox-Escape oder Remote Code Execution (RCE) dar. Nur Multi-Benutzer-Instanzen, die den JS-Aufgabenrunner mit aktivierten integrierten oder externen Modulen ausführen, sind betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.