CVE-2026-42227
MediumSummary
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, uwierzytelniony użytkownik z ważnym kluczem API, ograniczonym do variable:list, mógł odczytać zmienne z projektów, w których nie był członkiem, podając dowolny parametr projectId w publicznym API.
Risk Assessment
Ryzyko polega na tym, że uwierzytelniony użytkownik może uzyskać dostęp do poufnych danych z projektów, do których nie powinien mieć dostępu, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych.
Recommendation
Zaleca się aktualizację n8n do wersji 1.123.32, 2.17.4 lub 2.18.1, aby zniwelować tę podatność oraz przegląd uprawnień użytkowników i kluczy API.
Original NVD description (English source)
n8n is an open source workflow automation platform. Prior to versions 1.123.32, 2.17.4, and 2.18.1, an authenticated user with a valid API key scoped to variable:list could read variables from projects they are not a member of by supplying an arbitrary projectId query parameter to the public API var