Nil340

يمكن للمستخدمين المصادق عليهم تجاوز إجراءات الحماية من تزوير الطلبات من جانب الخادم (SSRF) داخل عقدة عميل MCP. ومن خلال تصميم مسارات عمل محددة، يمكن للمهاجمين إرسال طلبات إلى مضيفات داخلية أو محظورة، متجاوزين التوجيه الأمني المقصود، مما يؤدي إلى كشف الخدمات الداخلية واسترداد الردود عبر مسار العمل.

n8n هي منصة لأتمتة سير العمل. يمكن للمستخدم الذي تمت مصادقته ولديه أذونات لإنشاء أو تعديل سير العمل الاستفادة من وضع «Combine by SQL» داخل عقدة Merge لقراءة الملفات المحلية على مضيف n8n، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. كانت بيئة الاختبار AlaSQL تفتقر إلى قيود كافية على بعض عبارات SQL، مما سمح للمهاجم بالوصول إلى الملفات الحساسة على الخادم أو اختراق المثيل. المكون المعرض للخطر هو عقدة Merge واستخدامها لـ AlaSQL.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة إصدارات n8n الأقدم من 2.10.1 إصدارات n8n الأقدم من 2.9.3 إصدارات n8n الأقدم من 1.123.22 الوصف n8n هي منصة مفتوحة المصدر لأتمتة سير العمل. يمكن للمستخدم المصادق عليه الذي يمتلك صلاحية إنشاء أو تعديل سير العمل استغلال وضع استعلام SQL في عقدة Merge لتنفيذ تعليمات برمجية عشوائية وتسجيل ملفات عشوائية على خادم n8n. وقد يؤدي ذلك، نظريًا، إلى السيطرة الكاملة على الخادم. التوصيات قم بالتحديث إلى الإصدار 2.10.1 من n8n أو أحدث. قم بالتحديث إلى الإصدار 2.9.3 من n8n أو أحدث. قم بالتحديث إلى الإصدار 1.123.22 من n8n أو أحدث.

n8n هي منصة لأتمتة سير العمل معرضة لحقن نصوص برمجية تعسفية. يمكن للمستخدم المصادق عليه الذي يتمتع بإذن لإنشاء أو تعديل سير العمل حقن نصوص برمجية ضارة في الصفحات التي يعرضها تطبيق n8n عبر عدة عقد، بما في ذلك عقدة Form Trigger وعقدة Chat Trigger وعقدة Send & Wait وعقدة Webhook وعقدة Chat. يتم تنفيذ البرامج النصية المُحقنة في متصفح أي مستخدم يزور الصفحة المتأثرة، مما قد يؤدي إلى اختطاف الجلسة والاستيلاء على الحساب.