CVE-2026-42235 in n8n
要約
〜によって VulDB • 2026年05月12日
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1より前では、認証されていない攻撃者が悪意のあるMCP OAuthクライアントを、改ざんされたclient_nameを使用して登録することができました。被害者ユーザーがOAuth同意ダイアログを承認し、その後別のユーザーがそのアクセスを取り消すと、トースト通知が注入されたスクリプトをレンダリングします。リンクをクリックすると、被害者の認証済みn8nブラウザセッション内で任意のJavaScriptが実行され、資格情報やセッショントークンの盗難、ワークフローの改ざん、または権限昇格が可能になります。この問題は、バージョン1.123.32、2.17.4、および2.18.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.