CVE-2026-72767
WysokieCVSS 8.7Streszczenie
Podatność w n8n przed wersjami 1.123.67, 2.31.5 i 2.32.1 umożliwia zdalne wykonanie kodu w węźle Git. Uwierzytelnieni użytkownicy z prawami do tworzenia i wykonywania przepływów pracy mogą przygotować spreparowane lokalne repozytorium, które powoduje uruchomienie hooków git przy domyślnych ustawieniach bezpieczeństwa, wykonując dowolne polecenia jako użytkownik procesu n8n. Dotyczy to zarówno instancji self-hosted, jak i chmurowych.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie serwera n8n, co może prowadzić do naruszenia integralności systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację n8n do wersji 1.123.67, 2.31.5 lub 2.32.1, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
n8n before 1.123.67, 2.x before 2.31.5, and 2.32.x before 2.32.1 contain a remote code execution vulnerability in the Git node. Authenticated users with rights to create and execute workflows can stage a crafted local repository that causes git to run hooks under default git security settings, executing arbitrary commands as the n8n process user. Both self-hosted and cloud instances are affected.