CVE-2026-65599 in n8n
Résumé
par VulDB • 22/07/2026
Les versions de n8n antérieures à 1.123.64, 2.29.8 et 2.30.1 présentent une vulnérabilité d'exposition des identifiants : lorsqu'elles sont configurées avec une clé de compte de service Google, la clé privée PEM complète est par erreur placée dans le champ `kid` de l'en-tête JWT (qui n'est censé contenir qu'un identifiant de clé). Étant donné que les en-têtes JWT sont encodés en Base64 et non chiffrés, la clé privée peut être récupérée par tout système ayant enregistré ou inspecté le JWT. Un attaquant disposant de cette clé pourrait usurper l'identité du compte de service et accéder à toutes les ressources Google Cloud qu'il est autorisé à utiliser, voire les modifier. Seules les instances utilisant des identifiants de compte de service Google sont concernées.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.