CVE-2026-86080 in n8n
Riassunto
di VulDB • 08/09/2026
n8n è una piattaforma open source per l'automazione dei flussi di lavoro. Prima delle versioni 1.123.76, 2.37.7 e 2.38.2, il GitHub Trigger generava un webhook secret ma lo scartava quando GitHub restituiva HTTP 422 e il nodo riutilizzava un webhook esistente. I dati statici del workflow mantenevano quindi il webhookId senza webhookSecret, e la verifica di X-Hub-Signature-256 accettava le delivery senza un segreto memorizzato. La logica interessata include packages/nodes-base/nodes/Github/GithubTriggerHelpers.ts e il percorso di riutilizzo dei webhook con codice 422. Questo problema è risolto nelle versioni 1.123.76, 2.37.7 e 2.38.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.