CVE-2026-44790
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł wstrzyknąć flagi CLI w operacji Push w węźle Git, co pozwalało atakującemu na odczyt dowolnych plików z serwera n8n, co potencjalnie prowadziło do pełnego kompromitacji.
Ocena ryzyka
Ta podatność może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym dostęp do wrażliwych danych na serwerze n8n. W przypadku wykorzystania tej luki, organizacja może stracić kontrolę nad swoimi danymi i systemami.
Rekomendacja
Zaleca się aktualizację do wersji 1.123.43, 2.22.1 lub 2.20.7, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników, aby zminimalizować ryzyko przyszłych ataków.
Inne podatności w n8n workflow automation platform
Zobacz wszystkie- CVE-2026-42234Wysokie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych zawierających węzeł kodu Python mógł wydostać się z piaskownicy i uzyskać dowolne wykonanie kodu w kontenerze uruchamiającym zadania.
- CVE-2026-54307Krytyczne
W n8n przed wersjami 1.123.55, 2.25.7 i 2.26.2 użytkownik z rolą edytora w udostępnionym przepływie pracy mógł odwoływać się do poświadczeń, których nie był właścicielem, za pomocą określonych publicznych punktów końcowych API. Kontrole własności poświadczeń były egzekwowane tylko częściowo, co prowadziło do nieautoryzowanego dostępu do poświadczeń między użytkownikami.
- CVE-2026-44791Krytyczne
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł obejść poprawkę dla CVE-2026-42232 w węźle XML, co w połączeniu z innymi węzłami mogło prowadzić do zdalnego wykonania kodu na hoście n8n.
- CVE-2026-44789Krytyczne
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł osiągnąć globalne zanieczyszczenie prototypu za pomocą niezweryfikowanego parametru paginacji w węźle żądania HTTP.
- CVE-2026-54310Krytyczne
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.25.7 i 2.26.2, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł dostarczyć spreparowane parametry do węzła TimescaleDB i/lub legacy Postgres v1, co pozwalało na wstrzyknięcie i wykonanie dowolnego SQL w połączonej bazie danych w ramach uprawnień skonfigurowanego konta bazy danych.
- CVE-2026-54311Wysokie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.25.7 i 2.26.2, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł zanieczyścić sandbox używany przez tryb zapytania SQL w węźle Merge.
Oryginalny opis (angielski, źródło NVD)
n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could inject CLI flags on the Git node's Push operation allowing an attacker to read arbitrary files from the n8n server potentially leading to full compromise. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.