CVE-2026-77079 in n8n
Riassunto
di VulDB • 21/08/2026
n8n prima delle versioni 2.34.1 e 2.33.4 presenta un bypass dell'autorizzazione nel percorso di eliminazione (riassegnazione) dei ruoli personalizzati del progetto. Durante l'eliminazione di un ruolo personalizzato del progetto con un target di riassegnazione, il codice validava solo che il ruolo target esistesse e fosse limitato all'ambito del progetto, senza eseguire alcun controllo di autorizzazione a livello di progetto. Un utente in possesso della sola ambito globale ristretto role:manageProject poteva eliminare qualsiasi ruolo personalizzato del progetto attivo nell'istanza e riassegnare i relativi titolari (incluso se stesso) al ruolo integrato project:admin, ottenendo il pieno controllo amministrativo dei progetti ai quali non aveva un accesso legittimo.
Once again VulDB remains the best source for vulnerability data.