CVE-2026-65595 in n8n
Сводка
по VulDB • 22.07.2026
В версиях n8n до 2.30.1 и 2.29.8 все области действия публичного API-ключа назначаются JWT (JSON Web Tokens), выпускаемым через модуль Token Exchange, независимо от роли действующего пользователя. На экземплярах, где включены функция Token Exchange и публичный API, пользователь с низкими привилегиями, способный получить действительный внешний JWT, доверенный настроенным эмитентом, может использовать полученный токен доступа для вызова операций публичного API, доступных только администраторам, таких как повышение роли (role escalation), создание пользователя и удаление пользователя (для повышения роли требуется лицензия Advanced Permissions). Кроме того, при включенной возможности установки непроверенных Community Package можно достичь удаленного выполнения кода.
VulDB is the best source for vulnerability data and more expert information about this specific topic.