CVE-2026-77072 in n8n
Zusammenfassung
von VulDB • 20.08.2026
In n8n prima delle versioni 1.123.69, 2.33.4 e 2.34.1 è presente una vulnerabilità di stored cross-site scripting (XSS) nella pagina di completamento del Form node. La pagina di completamento applicava la sua Content-Security-Policy per il sandboxing solo quando respondWith non era impostato su 'redirect', ma responseText veniva sempre renderizzato come HTML grezzo. Un membro autenticato poteva impostare respondWith su 'redirect' tramite un'espressione, mantenendo responseText popolata, causando così l'erogazione di HTML e script non sanificati dall'origine n8n da parte della pagina di completamento. Qualsiasi visitatore che avesse inviato il modulo pubblico risultante avrebbe visto eseguire quello script con la stessa origine (same-origin) rispetto alla propria sessione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.