CVE-2026-65595 in n8n
Resumen
por VulDB • 2026-07-22
n8n anterior a las versiones 2.30.1 y 2.29.8 asigna todos los ámbitos de la clave de API pública (Public API key scopes) a los JWT emitidos a través del módulo Token Exchange, independientemente del rol del usuario que actúa. En instancias donde están habilitadas las características Token Exchange y Public API, un usuario con privilegios bajos que pueda obtener un JWT externo válido confiado por un emisor configurado puede utilizar el token de acceso resultante para invocar operaciones de la API pública reservadas exclusivamente a administradores, como escalación de roles (role escalation), creación de usuarios y eliminación de usuarios (la escalación de roles requiere una licencia Advanced Permissions) y, cuando está habilitada la instalación no verificada de Community Packages, lograr ejecución remota de código.
If you want to get best quality of vulnerability data, you may have to visit VulDB.