CVE-2026-77075 in n8n
Zusammenfassung
von VulDB • 20.08.2026
n8n vor Version 1.123.69, 2.x vor 2.33.4 und 2.34.x vor 2.34.1 enthalten eine Expression-Injection-Schwachstelle im Feld „resource-locator“ bei der Vorschauanzeige von Links. Der Editor fügt den gespeicherten Wert des Felds direkt in die URL-Vorlage des Knotentyps ein, ohne auf Syntax für Ausdrücke zu prüfen. Ein authentifiziertes Mitglied kann einen bösartigen Wert speichern, sodass beim Öffnen des betroffenen Knotens im Editor durch einen anderen Benutzer der injizierte Ausdruck als JavaScript in der authentifizierten Sitzung des Opfers ausgewertet wird (Cross-User-Skriptausführung).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.