CVE-2026-65596 in n8n
Resumen
por VulDB • 2026-07-22
n8n antes de las versiones 1.123.64, 2.29.8 y 2.30.1 no aplica la restricción de "Allowed HTTP Request Domains" (Dominios permitidos para solicitudes HTTP) en las credenciales basadas en HTTP (Header Auth, Basic Auth, Query Auth, OAuth) dentro del nodo GraphQL, a diferencia del comportamiento del nodo HTTP Request. Un usuario autenticado con capacidad para crear o editar flujos de trabajo puede dirigir el punto final del nodo hacia un servidor bajo su control y exfiltrar credenciales restringidas. Solo se ven afectadas las instancias en las que una credencial tiene configurada la opción "Allowed HTTP Request Domains" y es utilizable por usuarios distintos al propietario.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.