CVE-2026-27496 in n8n
요약
\~에 의해 VulDB • 2026. 07. 02.
n8n은 오픈 소스 워크플로우 자동화 플랫폼입니다. 버전 1.123.22, 2.9.3 및 2.10.1 이전 버전에서는 워크플로우 생성 또는 수정 권한이 있는 인증된 사용자가 JavaScript Task Runner를 사용하여 초기화되지 않은 메모리 버퍼를 할당할 수 있었습니다. 초기화되지 않은 버퍼에는 동일한 Node.js 프로세스의 잔여 데이터(이전 요청, 작업, 비밀 정보 또는 토큰에서 유래한 데이터 포함)가 포함되어 있어 민감한 인프로세스(in-process) 데이터의 정보가 노출될 수 있습니다. Task Runner는 `N8N_RUNNERS_ENABLED=true`를 사용하여 활성화해야 합니다. 외부 러너 모드에서는 영향이 외부 러너 프로세스 내의 데이터로 제한됩니다. 이 문제는 n8n 버전 1.123.22, 2.10.1 및 2.9.3에서 수정되었습니다. 사용자는 취약점을 해결하기 위해 해당 버전 이상으로 업그레이드해야 합니다. 즉시 업그레이드가 불가능한 경우 관리자는 다음 임시 완화 조치를 고려해야 합니다: 워크플로우 생성 및 편집 권한을 완전히 신뢰할 수 있는 사용자에만 제한하고, 외부 러너 모드(`N8N_RUNNERS_MODE=external`)를 사용하여 러너 프로세스를 격리합니다. 이러한 우회 방법은 위험을 완전히 해결하지 못하며 단기적인 완화 조치로만 사용해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.