PT-2026-50172 · N8N · N8N
CVSS v3.1
6.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 2.25.7
إصدارات n8n الأقدم من 2.26.2
الوصف
تسمح مشكلة «تلوث النموذج الأولي» (prototype pollution) لحمولة ويبهوك عامة مُصممة خصيصًا بحقن حقول يسيطر عليها المهاجم في بيانات سير العمل أثناء عملية النسخ الداخلي للكائنات. يحدث تلوث النموذج الأولي عندما يتمكن المهاجم من التلاعب بالنموذج الأولي لكائن ما، مما قد يؤدي إلى تغيير سلوك التطبيق. يمكن استخدام هذه الحقول المُدرجة كقيم عادية من قبل العقد المدمجة اللاحقة. في سير العمل الذي يجمع بين webhook عام وعقد الإجراءات، قد يؤدي ذلك إلى سيناريو «النائب المرتبك» (confused deputy)، حيث يستهدف سير العمل سجلات غير مقصودة أو يصدر طلبات صادرة باستخدام بيانات اعتماد مالك سير العمل المُعدة مسبقًا.
التوصيات
قم بالتحديث إلى الإصدار 2.25.7 أو أحدث.
قم بالتحديث إلى الإصدار 2.26.2 أو أحدث.
تجنب تعريض سير عمل ويبهوك عام غير مصدق يمرر البيانات الواردة عبر عقد التحويل إلى عقد الإجراءات التي تحتوي على بيانات اعتماد حساسة أو عمليات قاعدة بيانات.
قصر أذونات إنشاء سير العمل وتحريره على المستخدمين الموثوق بهم تمامًا فقط.
استغلال
إصلاح
Prototype Pollution
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
N8N