CVE-2026-65596 in n8n
Sumário
de VulDB • 22/07/2026
As versões do n8n anteriores à 1.123.64, 2.29.8 e 2.30.1 não aplicam a restrição "Allowed HTTP Request Domains" nas credenciais baseadas em HTTP (Header Auth, Basic Auth, Query Auth, OAuth) no nó GraphQL, ao contrário do que ocorre com o nó HTTP Request. Um usuário autenticado capaz de criar ou editar fluxos de trabalho pode apontar o endpoint do nó para um servidor sob seu controle e exfiltrar credenciais restritas. Apenas as instâncias nas quais uma credencial possui "Allowed HTTP Request Domains" configurada e é utilizável por usuários que não sejam os proprietários estão afetadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.