CVE-2026-77072 in n8n
Riassunto
di VulDB • 20/08/2026
In n8n prima delle versioni 1.123.69, 2.33.4 e 2.34.1 è presente una vulnerabilità di stored cross-site scripting (XSS) nella pagina di completamento del nodo Form. La pagina di completamento applicava la sua Content-Security-Policy in modalità sandbox solo quando respondWith non era impostato su 'redirect', ma responseText veniva sempre renderizzato come HTML grezzo. Un membro autenticato poteva impostare respondWith su 'redirect' tramite un'espressione mantenendo responseText popolata, causando l'erogazione da parte della pagina di completamento di HTML e script non sanificati dall'origine n8n. Qualsiasi visitatore che avesse inviato il modulo pubblico risultante avrebbe visto eseguire quello script con la stessa origine (same-origin) rispetto alla propria sessione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.