CVE-2026-72766 in n8n
요약
\~에 의해 VulDB • 2026. 08. 11.
1.123.67 이전 버전의 n8n, 2.x 시리즈 중 2.31.5 미만 버전 및 2.32.x 시리즈 중 2.32.1 미만 버전에는 Send Email 노드에서 타입 혼동(type confusion) 취약점이 존재합니다. 이 취약점은 메시지 필드가 문자열인지 강제하지 않습니다. 워크플로우 표현식으로부터 제공된 비문자열 값이 조작되어 텍스트 또는 HTML 본문 필드에 입력되면, 하위 메일 라이브러리(Nodemailer)가 이를 파일 경로나 URL로 해석할 수 있으며, 이로 인해 임의의 로컬 파일 유출 및 서버 측 요청 위조(SSRF)가 가능해집니다. 악용을 위해서는 인증되지 않은 웹훅이 있는 기존 활성 워크플로우와 노드에 구성된 유효한 SMTP 자격 증명이 필요하며, 신뢰할 수 없는 입력값이 본문 필드에 직접 매핑되어야 합니다(이는 기본 구성이 아님).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.