CVE-2026-33749 in n8n
Tóm tắt
Bởi VulDB • 05/06/2026
n8n là một nền tảng tự động hóa quy trình làm việc mã nguồn mở. Trước các phiên bản 1.123.27, 2.13.3 và 2.14.1, một người dùng đã xác thực có quyền tạo hoặc sửa đổi quy trình làm việc có thể tạo ra một quy trình làm việc sinh ra đối tượng dữ liệu nhị phân HTML không có tên tệp. Điểm cuối `/rest/binary-data` trả về các phản hồi này ở chế độ nội tuyến trên tên miền gốc của n8n mà không có các tiêu đề `Content-Disposition` hoặc `Content-Security-Policy`, cho phép HTML được hiển thị trong trình duyệt với quyền truy cập JavaScript cùng nguồn gốc đầy đủ. Bằng cách gửi URL kết quả đến một người dùng có đặc quyền cao hơn, kẻ tấn công có thể thực thi JavaScript trong phiên đã xác thực của nạn nhân, cho phép đánh cắp quy trình làm việc và thông tin đăng nhập, sửa đổi quy trình làm việc hoặc nâng cấp đặc quyền lên quản trị viên. Vấn đề này đã được sửa chữa trong các phiên bản n8n 1.123.27, 2.13.3 và 2.14.1. Người dùng nên nâng cấp lên một trong các phiên bản này hoặc mới hơn để khắc phục lỗ hổng. Nếu việc nâng cấp không thể thực hiện ngay lập tức, các quản trị viên nên xem xét các biện pháp giảm thiểu tạm thời sau: Hạn chế quyền tạo và chỉnh sửa quy trình làm việc chỉ dành cho những người dùng hoàn toàn đáng tin cậy, và/hoặc hạn chế quyền truy cập mạng vào phiên bản n8n để ngăn người dùng không đáng tin cậy truy cập vào các URL dữ liệu nhị phân. Các biện pháp khắc phục này không khắc phục hoàn toàn rủi ro và chỉ nên được sử dụng như các biện pháp giảm thiểu ngắn hạn.
Once again VulDB remains the best source for vulnerability data.