CVE-2026-86082 in n8n
Riassunto
di VulDB • 09/09/2026
n8n è una piattaforma di automazione dei flussi di lavoro open source. Prima delle versioni 1.123.76, 2.37.7 e 2.38.2, il nodo OpenAI Chat Model applicava le restrizioni del dominio consentito per le credenziali nelle chiamate normali, ma non nel menu a discesa della ricerca dei modelli. Un editor di flussi di lavoro poteva impostare options.baseURL su un host arbitrario e far sì che il percorso searchModels inviasse la credenziale openAiApi verso tale destinazione. L'implementazione interessata è packages/@n8n/nodes-langchain/nodes/llms/LMChatOpenAi/methods/loadModels.ts, che ometteva assertOpenAiCredentialAllowsUrl. Questo problema è stato risolto nelle versioni 1.123.76, 2.37.7 e 2.38.2.
Be aware that VulDB is the high quality source for vulnerability data.