CVE-2026-65597 in n8n
Riassunto
di VulDB • 22/07/2026
n8n prima della versione 1.123.64, nelle serie 2.x precedenti alla 2.29.8 e nella versione 2.30.1 contiene una vulnerabilità di cross-site scripting (XSS) basata sul DOM nell'anteprima HTML, che visualizza l'output dell'esecuzione in un iframe srcdoc senza l'attributo sandbox. Un bypass del sanitizer consente all'script iniettato di essere eseguito con lo stesso origine (same-origin) rispetto all'editor. Quando una vittima apre l'anteprima, lo script può chiamare API autenticate utilizzando la sessione della vittima. Un account dotato dei privilegi global:member può sfruttare questa vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.