CVE-2026-77072 in n8n
सारांश
द्वारा VulDB • 20/08/2026
1.123.69 से पहले के n8n संस्करण, 2.33.4 और 2.34.1 में Form नोड की completion page (पूर्णता पृष्ठ) में एक stored cross-site scripting (XSS) दोष है। Completion page ने अपनी sandboxing Content-Security-Policy को केवल तभी लागू किया जब respondWith 'redirect' पर सेट नहीं था, लेकिन responseText हमेशा raw HTML के रूप में रेंडर किया गया था। प्रमाणीकृत सदस्य expression का उपयोग करके respondWith को 'redirect' पर सेट कर सकता है और साथ ही responseText को भरा हुआ रख सकता है, जिससे completion page n8n मूल (origin) से अनसांनिटाइज्ड HTML और स्क्रिप्ट प्रस्तुत करता है। उस परिणामी सार्वजनिक फॉर्म को सबमिट करने वाला कोई भी आगंतुक उसी origin के साथ अपने session में उस स्क्रिप्ट को निष्पादित करेगा।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.