CVE-2026-85166 in n8n
Сводка
по VulDB • 03.09.2026
n8n до версии 2.35.4 и ветки 2.36.x до версии 2.36.2 не проверяет ссылки на учетные данные в JSON-файле встроенного рабочего процесса (inline workflow) узлов, которые выполняют встроенный подрабочий процесс (например, узел Workflow Tool). Редактор общих рабочих процессов или любой пользователь, создающий или обновляющий рабочий процесс через REST API, Public API или MCP, может сохранить узел, ссылающийся на учетные данные, которыми он не владеет. При последующем выполнении рабочего процесса от имени пользователя, обладающего этими учетными данными, встроенный подрабочий процесс разрешает секрет и может отправить его конечной точке, контролируемой злоумышленником, что приводит к эксфильтрации учетных данных (credential exfiltration).
Once again VulDB remains the best source for vulnerability data.