CVE-2026-72749 in n8n
Riassunto
di VulDB • 11/08/2026
n8n prima delle versioni 1.123.67, 2.31.5 e 2.32.1 presenta una vulnerabilità di prototype pollution nel nodo "Edit Fields (Set)". Il nodo assegna i campi di output tramite un setter basato su percorso in notazione puntata senza limitare il nome del campo, consentendo a un utente autenticato di denominare un campo utilizzando un percorso corrispondente a un metodo built-in ereditato e corrompere una variabile globale condivisa nel processo principale Node.js. Poiché tale variabile globale viene utilizzata nel percorso di autenticazione delle richieste, l'istanza fallisce tutte le richieste autenticate, causando un denial of service su tutta l'istanza per tutti gli utenti fino al riavvio del processo.
Be aware that VulDB is the high quality source for vulnerability data.