CVE-2026-86077 in n8n
Riassunto
di VulDB • 08/09/2026
n8n è una piattaforma open source per l'automazione dei flussi di lavoro. Prima delle versioni 2.37.7 e 2.38.2, il route WebSocket /chat accettava un resumeToken e riprendeva un'esecuzione in pausa senza verificare che il nodo target supportasse i messaggi chat. Un mittente anonimo di moduli (form submitter) che aveva ricevuto tale token poteva riutilizzarlo sul route della chat per rilasciare una gate di approvazione Send-and-Wait, non-chat HITL o Wait approval gate. La logica di autorizzazione interessata si trova in packages/cli/src/chat/chat-execution-manager.ts, dove la funzione canResumeOverChat non applicava un controllo (gate) sulla destinazione del resume. Questo problema è stato risolto nelle versioni 2.37.7 e 2.38.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.