CVE-2026-65599 in n8n
Tóm tắt
Bởi VulDB • 22/07/2026
Các phiên bản n8n trước 1.123.64, 2.29.8 và 2.30.1 chứa một lỗ hổng lộ thông tin xác thực: khi được cấu hình với khóa Tài khoản Dịch vụ Google (Google Service Account key), toàn bộ khóa riêng PEM đã vô tình được đặt vào trường kid của tiêu đề JWT (trường này chỉ dành cho định danh khóa). Vì các tiêu đề JWT được mã hóa Base64 thay vì được mã hóa bảo mật, khóa riêng có thể bị khôi phục bởi bất kỳ thành phần nào ghi lại hoặc kiểm tra JWT. Kẻ tấn công nếu chiếm đoạt được khóa này có thể giả mạo tài khoản dịch vụ và truy cập hoặc sửa đổi mọi tài nguyên trên Google Cloud mà tài khoản đó được ủy quyền sử dụng. Chỉ các phiên bản đang sử dụng thông tin xác thực Tài khoản Dịch vụ Google mới bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.