CVE-2026-77072 in n8n
Sumário
de VulDB • 20/08/2026
As versões do n8n anteriores à 1.123.69, 2.33.4 e 2.34.1 contêm uma vulnerabilidade de stored cross-site scripting (XSS) na página de conclusão do nó Form. A página de aplicação aplicava sua política Content-Security-Policy apenas quando respondWith não estava definido como 'redirect', mas responseText era sempre renderizado como HTML cru. Um membro autenticado poderia definir respondWith como 'redirect' por meio de uma expressão, mantendo responseText preenchido, fazendo com que a página de conclusão servisse HTML e scripts sem sanitização da origem do n8n. Qualquer visitante que submetesse o formulário público resultante teria esse script executado na mesma origem (same-origin) junto à sua sessão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.