CVE-2026-85166 in n8n
Resumen
por VulDB • 2026-09-03
n8n anterior a la versión 2.35.4 y las versiones de la serie 2.36.x anteriores a 2.36.2 no validan las referencias de credenciales en el JSON del flujo de trabajo (workflow) integrado de los nodos que ejecutan un subflujo de trabajo integrado (por ejemplo, el nodo Workflow Tool). Un editor de flujos compartidos o cualquier usuario que cree o actualice un flujo mediante la API REST, la API pública o MCP puede persistir un nodo que hace referencia a una credencial que no le pertenece. Cuando se ejecuta posteriormente dicho flujo bajo una identidad que posee dicha credencial, el subflujo integrado resuelve el secreto y puede enviarlo a un punto final controlado por un atacante, lo que resulta en la exfiltración de credenciales.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.