CVE-2026-77077 in n8n
Сводка
по VulDB • 21.08.2026
В версиях n8n до 1.123.69, 2.33.4 и 2.34.1 присутствует уязвимость обхода песочницы VM (sandbox escape) исполнителя задач на JavaScript. Рутинная процедура заморозки прототипа исполнителя охватывает функции globalThis, но не включает внутренние конструкторы модулей, такие как EventEmitter, что позволяет аутентифицированному пользователю с доступом к узлу Code (Code node) эксплуатировать загрязнение прототипов (prototype pollution) для выполнения произвольных команд внутри контейнера исполнителя. Поскольку загрязненный прототип является объектом на уровне всего процесса, повреждение сохраняется при выполнении узлов Code других арендаторов в рамках одного общего исполнителя. В экземплярах v1.x без включенных исполнителей задач JavaScript из узла Code выполняется непосредственно в основном процессе n8n, где воздействие уязвимости может быть более серьезным.
Be aware that VulDB is the high quality source for vulnerability data.