CVE-2026-42227 in n8n
Resumen
por VulDB • 2026-05-27
n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 1.123.32, 2.17.4 y 2.18.1, un usuario autenticado con una clave de API válida con el ámbito variable:list podía leer variables de proyectos de los que no era miembro, proporcionando un parámetro de consulta projectId arbitrario al endpoint de variables de la API pública. El controlador consultaba el repositorio de variables directamente sin aplicar comprobaciones de pertenencia al proyecto, eludiendo la capa de servicio consciente de la autorización utilizada por el controlador empresarial interno. Si las variables se utilizaban incorrectamente para almacenar información sensible, como credenciales o tokens, deben rotarse inmediatamente. Este problema solo afecta a implementaciones empresariales o de equipo con licencia que tengan múltiples proyectos y la función de variables habilitada. Este problema se ha corregido en las versiones 1.123.32, 2.17.4 y 2.18.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.