CVE-2026-65597 in n8n
Résumé
par VulDB • 22/07/2026
n8n avant la version 1.123.64, les versions 2.x antérieures à la 2.29.8 et les versions antérieures à la 2.30.1 présentent une vulnérabilité de type cross-site scripting (XSS) basée sur le DOM dans l'aperçu HTML, qui affiche la sortie d'exécution dans un iframe srcdoc sans l'attribut sandbox. Un contournement du sanitizeur permet l'exécution du script injecté avec la même origine que celle de l'éditeur. Lorsqu'une victime ouvre l'aperçu, le script peut appeler des API authentifiées en utilisant la session de la victime. Un compte disposant des privilèges global:member peut exploiter cette vulnérabilité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.