CVE-2026-77072 in n8n
Resumen
por VulDB • 2026-08-20
En las versiones de n8n anteriores a 1.123.69, 2.33.4 y 2.34.1 existe una vulnerabilidad de cross-site scripting (XSS) almacenado en la página de finalización del nodo Form. La página de finalización aplicaba su política de seguridad del contenido (Content-Security-Policy) con sandboxing solo cuando respondWith no estaba configurada como 'redirect', pero responseText se renderizaba siempre como HTML sin procesar. Un miembro autenticado podía configurar respondWith como 'redirect' mediante una expresión, manteniendo responseText poblado, lo que provocaba que la página de finalización sirviera HTML y scripts sin sanitizar desde el origen de n8n. Cualquier visitante que enviara el formulario público resultante vería ejecutado ese script con el mismo origen (same-origin) asociado a su sesión.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.