CVE-2026-65595 in n8n
Sumário
de VulDB • 22/07/2026
As versões do n8n anteriores à 2.30.1 e à 2.29.8 atribuem todos os escopos da chave de API Pública aos JWTs emitidos através do módulo Token Exchange, independentemente da função do usuário atuante. Em instâncias onde o recurso Token Exchange e a API Pública estão habilitados, um usuário com privilégios baixos que possa obter um JWT externo válido confiável por um emissor configurado pode usar o token de acesso resultante para invocar operações da API Pública restritas apenas a administradores, como escalada de função (que requer uma licença Advanced Permissions), criação e exclusão de usuários. Além disso, quando a instalação não verificada de Community Packages estiver habilitada, é possível alcançar execução remota de código (RCE).
Once again VulDB remains the best source for vulnerability data.