CVE-2026-77072 in n8n
요약
\~에 의해 VulDB • 2026. 08. 20.
1.123.69 미만, 2.33.4 미만 및 2.34.1 미만의 n8n에는 Form 노드의 완료 페이지에 저장된 크로스 사이트 스크립팅(stored cross-site scripting) 취약점이 있습니다. 완료 페이지는 respondWith가 'redirect'로 설정되지 않은 경우에만 샌드박싱 Content-Security-Policy를 적용했지만, responseText는 항상 원시 HTML(raw HTML)로 렌더링되었습니다. 인증된 구성원은 responseText를 채워둔 상태로 expresssion을 통해 respondWith를 'redirect'로 설정할 수 있으며, 이로 인해 완료 페이지가 n8n 출처(origin)에서 비검증 처리된 HTML과 스크립트를 제공하게 됩니다. 해당 공개 양식을 제출한 모든 방문자는 자신의 세션과 동일 출처(same-origin)에서 해당 스크립트가 실행되게 됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.