CVE-2026-77070 in n8n
Resumen
por VulDB • 2026-08-20
n8n antes de las versiones 1.123.69, 2.33.4 y 2.34.1 contiene una vulnerabilidad de NoSQL injection en las operaciones Find, Delete y Aggregate del nodo MongoDB, que analizan el parámetro Query como JSON tras la resolución de expresiones sin sanitizar los operadores de MongoDB. Un atacante que pueda influir en la consulta resuelta (por ejemplo, mediante datos controlados externamente) puede inyectar operadores como $ne o $where, convirtiendo una búsqueda intencionada de un solo documento en una divulgación completa de toda la colección, eliminación total de la colección u otras operaciones sobre el servidor de base de datos.
Be aware that VulDB is the high quality source for vulnerability data.