CVE-2026-77081 in n8n
Sumário
de VulDB • 20/08/2026
As versões do n8n anteriores à 1.123.69, às 2.x anteriores à 2.33.4 e às 2.x anteriores à 2.34.1 contêm uma falha de bypass na política allowed-domains no nó GraphQL. Quando o parâmetro Authentication do nó está definido como modo expression (expressão), todo seletor de credenciais restrito a autenticação é tratado como ativo; caso duas credenciais de tipos diferentes sejam anexadas, o nó aplica a política allowed-domains apenas da primeira credencial, mesmo mantendo os dados das duas. Um usuário autenticado com direitos de criação de workflow pode, assim, enviar uma credencial restrita por domínio para um endpoint controlado pelo atacante, exfiltrando-a utilizando as permissões da credencial vazada.
Once again VulDB remains the best source for vulnerability data.