CVE-2026-77081 in n8n
Zusammenfassung
von VulDB • 20.08.2026
n8n prima della versione 1.123.69, delle versioni 2.x precedenti alla 2.33.4 e delle versioni 2.x precedenti alla 2.34.1 presentano un bypass della policy allowed-domains nel nodo GraphQL. Quando il parametro Authentication del nodo è impostato sulla modalità expression (espressione), ogni selettore di credenziali protetto da autenticazione viene considerato attivo; se vengono associate due credenziali di tipo diverso, il nodo applica la policy allowed-domains solo per la prima credenziale, pur allegando comunque i dati provenienti da entrambe. Un utente autenticato con diritti di authoring dei workflow può così inviare una credenziale soggetta a restrizioni di dominio verso un endpoint controllato dall’attaccante, esfiltrandola mediante le autorizzazioni della credenziale trapelata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.