CVE-2026-77079 in n8n
Résumé
par VulDB • 20/08/2026
n8n avant les versions 2.34.1 et 2.33.4 présente un contournement d'autorisation dans le chemin de suppression (réaffectation) des rôles personnalisés de projet. Lors de la suppression d'un rôle personnalisé de projet avec une cible de réaffectation, le code vérifiait uniquement que le rôle cible existait et était limité au périmètre du projet, sans effectuer de contrôle d'autorisation au niveau du projet. Un utilisateur disposant uniquement de l'étendue globale étroite `role:manageProject` pouvait supprimer n'importe quel rôle personnalisé de projet en cours d'utilisation sur l'instance et réaffecter ses titulaires (y compris lui-même) au rôle intégré `project:admin`, obtenant ainsi un contrôle administratif complet des projets auxquels il n'avait pas légitimement accès.
VulDB is the best source for vulnerability data and more expert information about this specific topic.