PT-2026-50177 · N8N · N8N
CVSS v3.1
7.7
عالية
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 2.25.7
إصدارات n8n الأقدم من 2.26.2
الوصف
يمكن لمستخدم معتمد يتمتع بأذونات إنشاء أو تعديل سير العمل أن يلوث بيئة الحماية (sandbox) التي يستخدمها وضع الاستعلام SQL الخاص بعقدة Merge. نظرًا لأن سياق بيئة الاختبار يتم تخزينه مؤقتًا وإعادة استخدامه عبر جميع عمليات تنفيذ سير العمل على مثيل ما، فإن التغييرات الأولية التي يُدخلها أحد المستخدمين تستمر في عمليات تنفيذ Merge SQL اللاحقة للمستخدمين أو المشاريع الأخرى. وهذا يسمح لمهاجم ذي امتيازات محدودة باعتراض بيانات سير العمل التي يعالجها مستخدمون آخرون على نفس المثيل. تؤثر هذه المشكلة بشكل خاص على المثيلات متعددة المستخدمين حيث يمتلك عدة مستخدمين أذونات لإنشاء وتنفيذ سير العمل باستخدام عقدة Merge في وضع استعلام SQL.
التوصيات
التحديث إلى الإصدار 2.25.7.
التحديث إلى الإصدار 2.26.2.
تقييد أذونات إنشاء وتحرير سير العمل على المستخدمين الموثوق بهم تمامًا فقط.
تعطيل عقدة Merge عن طريق إضافة
n8n-nodes-base.merge إلى متغير البيئة NODES EXCLUDE.استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
N8N