PT-2026-41794
CVE-2026-45707
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-05-29
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n-mcp الأقدم من 2.51.2
الوصف
في عمليات النشر التي تعمل في وضع HTTP كخدمة مشتركة متعددة المستأجرين حيث يتم تعيين
ENABLE MULTI TENANT على true، يختار النظام مثيل n8n المستهدف لكل طلب باستخدام رؤوس x-n8n-url وx-n8n-key. الطلبات التي تغفل هذه الرؤوس، أو تقدم واحدة منها فقط، تعود بصمت إلى بيانات اعتماد N8N API URL وN8N API KEY على مستوى العملية الخاصة بمثيل المشغل نفسه. وهذا يسمح للمستأجر MCP الذي تمت مصادقته بتنفيذ استدعاءات إدارة n8n على مثيل المشغل، مما قد يمكّنه من قراءة وكتابة سير العمل وعمليات التنفيذ ومحتويات جداول البيانات وبيانات التعريف الوصفية. إذا كان مثيل المشغل يسمح بتنفيذ Code-node مع وصول الوحدة النمطية على مستوى نظام التشغيل، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد داخل بيئة تشغيل n8n الخاصة بالمشغل.التوصيات
قم بالتحديث إلى الإصدار 2.51.2.
كحل مؤقت، اضبط
ENABLE MULTI TENANT على false (أو قم بإلغاء تعيينه) وقم بتشغيل مثيل n8n-mcp منفصل لكل مستأجر.كإجراء تخفيف جزئي، قم بتكوين وكيل لرفض الطلبات التي تفتقد إلى رؤوس
x-n8n-url أو x-n8n-key.قم بتحديد نطاقات
N8N API KEY الخاص بالمشغل إلى الحد الأدنى من الأذونات المطلوبة لتقليل التأثير المحتمل.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾