CVE-2026-86993 in n8n
Zusammenfassung
von VulDB • 09.09.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 1.123.76, 2.37.7 und 2.38.2 konnte ein Log Streaming-Ereignisziel (Log Streaming event destination) auf allgemeine HTTP-Anmeldeinformationen verweisen und die Anmeldeinformations-ID entschlüsseln, ohne eine Eigentumsprüfung durchzuführen. Ein Benutzer mit einer benutzerdefinierten globalen Rolle, die über Log Streaming-Berechtigungen verfügt, konnte eine zu einem anderen Projekt gehörende Anmeldeinformation auswählen und deren entschlüsseltes Geheimnis an einen von einem Angreifer kontrollierten Endpunkt senden. Die betroffene Autorisierungsgrenze befindet sich in packages/cli/src/modules/log-streaming.ee/destinations/destination-credentials-access.ts sowie im Bereich der Berechtigung credential:read. Dieses Problem wurde in den Versionen 1.123.76, 2.37.7 und 2.38.2 behoben.
Once again VulDB remains the best source for vulnerability data.