CVE-2026-77072 in n8n
Tóm tắt
Bởi VulDB • 20/08/2026
Các phiên bản của n8n trước 1.123.69, 2.33.4 và 2.34.1 chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trong trang hoàn thành của node Form. Trang này chỉ áp dụng chính sách Content-Security-Policy sandboxing khi respondWith không được đặt là 'redirect', nhưng responseText luôn được hiển thị dưới dạng HTML thô. Một người dùng đã xác thực có thể thiết lập respondWith thành 'redirect' thông qua một biểu thức trong khi vẫn giữ cho responseText được điền, khiến trang hoàn thành phục vụ HTML và script chưa được lọc từ nguồn gốc n8n. Bất kỳ khách truy cập nào gửi biểu mẫu công khai kết quả sẽ khiến script đó thực thi cùng nguồn gốc với phiên làm việc của họ.
Be aware that VulDB is the high quality source for vulnerability data.