CVE-2026-77075 in n8n

摘要

由 VulDB • 2026-08-20

n8n 1.123.69 之前版本、2.x 系列中 2.33.4 之前的版本以及 2.34.x 系列中 2.34.1 之前的版本在资源定位器（resource-locator）字段的链接预览渲染中存在表达式注入漏洞。编辑器未检查语法，直接将字段存储的值拼接到节点类型的 URL 模板中。经过身份验证的成员可以存储恶意值，使得当其他用户在编辑器中打开受影响的节点时，被注入的表达式会在受害者的已认证会话中以 JavaScript 形式执行（跨用户脚本执行）。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: VulnCheck
• 预定: 2026-08-20
• 披露: 2026-08-20
• 管理: 已接受
• 条目: VDB-393659
• CPE: 准备好
• CWE: CWE-74 (已确认)
• CVSS: 5.5 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-77075
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-77075
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-77075/