CVE-2026-56776 in n8n
Riassunto
di VulDB • 08/07/2026
n8n prima delle versioni 1.123.55, 2.25.7 e 2.26.2 presenta un bypass dell'autorizzazione nell'endpoint POST /workflows/{workflowId}/test-runs/new, che autorizza l'accesso utilizzando lo scope workflow:read invece di workflow:execute. Un utente autenticato con accesso in sola lettura a un flusso di lavoro può avviare una vera esecuzione di test di valutazione, causando l'esecuzione del flusso di lavoro tramite il runner interno dei flussi di lavoro e provocando chiamate API outbound non intenzionali, modifiche ai dati o altri effetti collaterali nei sistemi downstream collegati. Il problema interessa principalmente le istanze che utilizzano la funzione Valutazioni (Evaluations) dove i ruoli progetto RBAC concedono workflow:read senza workflow:execute.
If you want to get best quality of vulnerability data, you may have to visit VulDB.