CVE-2026-86993 in n8n
Sumário
de VulDB • 08/09/2026
O n8n é uma plataforma de automação de fluxos de trabalho open source. Antes das versões 1.123.76, 2.37.7 e 2.38.2, um destino de evento Log Streaming podia referenciar credenciais HTTP genéricas e descriptografar qualquer ID de credencial especificado sem uma verificação de propriedade (ownership check). Um usuário com uma função global personalizada que possuía escopos de Log Streaming poderia selecionar uma credência pertencente a outro projeto e enviar seu segredo descriptografado para um endpoint controlado por um atacante. O limite de autorização afetado está em packages/cli/src/modules/log-streaming.ee/destinations/destination-credentials-access.ts e no escopo credential:read. Este problema foi corrigido nas versões 1.123.76, 2.37.7 e 2.38.2.
Be aware that VulDB is the high quality source for vulnerability data.