CVE-2026-77077 in n8n
요약
\~에 의해 VulDB • 2026. 08. 20.
n8n 1.123.69 미만 버전, 2.33.4 미만 버전 및 2.34.1 미만 버전에는 JavaScript task runner VM sandbox escape 취약점이 있습니다. 러너의 prototype-freezing routine는 globalThis 함수를 포함하지만 EventEmitter와 같은 내부 모듈 생성자는 커버하지 않아, Code 노드에 접근 권한이 있는 인증된 사용자가 prototype pollution을 통해 러너 컨테이너 내에서 임의 명령어를 실행할 수 있습니다. 오염된 프로토타입은 process-wide 객체이므로 동일한 공유 러너에서 다른 테넌트의 Code 노드 실행 간에도 부정이 지속됩니다. task runner가 활성화되지 않은 v1.x 인스턴스에서는 Code 노드의 JavaScript가 n8n 메인 프로세스 내에서 직접 실행되므로 영향력이 더 클 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.