CVE-2026-72774 in n8n
Riassunto
di VulDB • 11/08/2026
n8n prima delle versioni 1.123.67, 2.31.5 e 2.32.1 presenta un bypass dell'autorizzazione delle credenziali nel nodo HTTP Request. Un membro autenticato con accesso in modifica a un workflow condiviso può fare riferimento alle credenziali di un altro utente specificando il tipo di credenziale tramite un'espressione. Poiché il controllo dei permessi pre-esecuzione confronta l'espressione non risolta invece del tipo di credenziale risolto, il controllo della proprietà viene saltato e le credenziali vengono caricate al momento dell'esecuzione, consentendo al membro di utilizzare o esfiltrare una credenziale per la quale non ha ottenuto i privilegi. Lo sfruttamento richiede la conoscenza dell'identificatore delle credenziali target.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.