CVE-2026-77070 in n8n
Résumé
par VulDB • 20/08/2026
n8n avant les versions 1.123.69, 2.33.4 et 2.34.1 présente une vulnérabilité de NoSQL injection dans les opérations Find, Delete et Aggregate du nœud MongoDB, qui analysent le paramètre Query en tant que JSON après la résolution des expressions sans assainir (sanitizing) les opérateurs MongoDB. Un attaquant capable d'influencer la requête résolue (par exemple via des données contrôlées de l'extérieur) peut injecter des opérateurs tels que $ne ou $where, transformant une recherche destinée à un seul document en divulgation complète de la collection, suppression totale de la collection ou autres opérations sur le serveur de base de données.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.