CVE-2026-77079 in n8n
Zusammenfassung
von VulDB • 20.08.2026
n8n prima delle versioni 2.34.1 e 2.33.4 presenta un bypass dell'autorizzazione nel percorso di eliminazione (riassegnazione) dei ruoli personalizzati del progetto. Durante l'eliminazione di un ruolo personalizzato del progetto con un target di riassegnazione, il codice validava solo che il ruolo target esistesse e fosse limitato all'ambito del progetto, senza eseguire alcun controllo di autorizzazione a livello di progetto. Un utente in possesso esclusivamente dell'ambito globale ristretto role:manageProject poteva eliminare qualsiasi ruolo personalizzato del progetto attualmente utilizzato nell'istanza e riassegnare i relativi titolari (incluso se stesso) al ruolo integrato project:admin, ottenendo il pieno controllo amministrativo sui progetti a cui non aveva un accesso legittimo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.