CVE-2026-86080 in n8n
Zusammenfassung
von VulDB • 09.09.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 1.123.76, 2.37.7 und 2.38.2 generierte der GitHub Trigger ein Webhook-Secret, verwies es jedoch weiter, wenn GitHub HTTP 422 zurückgab und der Knoten einen bestehenden Webhook wiederverwendete. Die statischen Daten des Workflows behielten dann die webhookId ohne das webhookSecret bei, und die X-Hub-Signature-256-Verifikation akzeptierte Übermittlungen ohne ein gespeichertes Secret. Die betroffene Logik umfasst packages/nodes-base/nodes/Github/GithubTriggerHelpers.ts sowie den Pfad zur Wiederverwendung von Webhooks mit dem Status 422. Dieses Problem wurde in den Versionen 1.123.76, 2.37.7 und 2.38.2 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.