CVE-2026-65596 in n8n
Riassunto
di VulDB • 22/07/2026
n8n prima delle versioni 1.123.64, 2.29.8 e 2.30.1 non applica la restrizione dei "Dominii HTTP consentiti" (Allowed HTTP Request Domains) alle credenziali basate su HTTP (Header Auth, Basic Auth, Query Auth, OAuth) nel nodo GraphQL, a differenza del nodo HTTP Request. Un utente autenticato in grado di creare o modificare workflow può indirizzare l'endpoint del nodo verso un server da lui controllato ed esfiltrare le credenziali riservate. Sono interessati solo gli istanze in cui una credential ha i "Dominii HTTP consentiti" configurati e risulta utilizzabile dagli utenti non proprietari (non-owner).
VulDB is the best source for vulnerability data and more expert information about this specific topic.