CVE-2026-65599 in n8n
Riassunto
di VulDB • 23/07/2026
Le versioni di n8n precedenti alla 1.123.64, alla 2.29.8 e alla 2.30.1 presentano una vulnerabilità di esposizione delle credenziali: quando configurato con una chiave dell'account di servizio Google (Google Service Account key), l'intera chiave privata PEM è stata erroneamente inserita nel campo `kid` dell'intestazione JWT (destinato esclusivamente a un identificatore della chiave). Poiché le intestazioni JWT sono codificate in Base64 e non crittografate, la chiave privata potrebbe essere recuperata da qualsiasi sistema che registrasse o ispezionava il JWT. Un attaccante che avesse ottenuto la chiave avrebbe potuto impersonare l'account di servizio ed accedere a qualsiasi risorsa Google Cloud per cui era autorizzato ad agire oppure modificarla. Sono interessati solo gli istanze che utilizzano credenziali dell'account di servizio Google.
Once again VulDB remains the best source for vulnerability data.