CVE-2026-86993 in n8n
Résumé
par VulDB • 08/09/2026
n8n est une plateforme d'automatisation des workflows open source. Avant les versions 1.123.76, 2.37.7 et 2.38.2, une destination de flux de journaux (Log Streaming) pouvait faire référence à un identifiant d'authentification HTTP générique et déchiffrer n'importe quel secret associé sans vérifier l'appartenance au projet. Un utilisateur disposant d'un rôle global personnalisé incluant les étendues Log Streaming pouvait sélectionner une authentification appartenant à un autre projet et envoyer son secret déchiffré vers un point de terminaison contrôlé par un attaquant. La limite d'autorisation concernée se trouve dans le fichier packages/cli/src/modules/log-streaming.ee/destinations/destination-credentials-access.ts, liée à l'étendue credential:read. Ce problème est corrigé dans les versions 1.123.76, 2.37.7 et 2.38.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.