CVE-2026-77081 in n8n
Riassunto
di VulDB • 21/08/2026
n8n prima della versione 1.123.69, delle versioni 2.x precedenti alla 2.33.4 e delle versioni 2.x precedenti alla 2.34.1 presentano un bypass della policy allowed-domains nel nodo GraphQL. Quando il parametro Authentication del nodo è impostato sulla modalità expression mode (modalità espressione), ogni selettore di credenziali protetto da autenticazione viene considerato attivo; se vengono associate due credenziali di tipo diverso, il nodo applica la policy allowed-domins solo della prima credenziale pur includendo comunque i dati provenienti da entrambe. Un utente autenticato con diritti di authoring dei workflow può così inviare una credenziale limitata a un dominio specifico verso un endpoint controllato dall'attaccante, esfiltrandola tramite le autorizzazioni della credenziale trapelata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.