PT-2026-50168 · N8N · N8N
CVSS v3.1
7.6
عالية
| المتجه | AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.55
إصدارات n8n الأقدم من 2.25.7
إصدارات n8n الأقدم من 2.26.2
الوصف
يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول لتعديل سير العمل إدخال تعليمات جافا سكريبت تعسفية في الصفحة التي يُنشئها مشغل الدردشة (Chat Trigger) عن طريق توفير معرّف webhookId ضار. وهذا يسمح بتنفيذ التعليمات البرمجية المُدرجة داخل مصدر n8n باستخدام امتيازات الجلسة لأي مستخدم مسجل الدخول يزور رابط الدردشة.
التوصيات
التحديث إلى الإصدار 1.123.55.
التحديث إلى الإصدار 2.25.7.
التحديث إلى الإصدار 2.26.2.
تقييد أذونات إنشاء وتحرير سير العمل على المستخدمين الموثوق بهم تمامًا فقط.
تعطيل عقدة «Chat Trigger» عن طريق إضافة
@n8n/n8n-nodes-langchain.chatTrigger إلى متغير البيئة NODES EXCLUDE.استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
N8N