CVE-2026-56358

إصدارات n8n الأقدم من 1.123.25

إصدارات n8n الأقدم من 2.11.2

يمكن للمستخدم المصادق عليه الذي يتمتع بأذونات إنشاء أو تعديل سير العمل استغلال ثغرة في عملية تنقية CSS لعقدة «Form Trigger» لتخزين حمولة برمجية من نوع «البرمجة النصية عبر المواقع» (XSS). يُعد XSS نوعًا من المشكلات الأمنية التي يتم فيها حقن نصوص برمجية ضارة في مواقع الويب الموثوقة. يتم تنفيذ النص البرمجي المحقون بشكل مستمر لكل زائر للنموذج المنشور، مما يتيح إجراء عمليات التصيد الاحتيالي واختطاف عمليات إرسال النماذج. وعلى الرغم من أن سياسة أمان المحتوى (CSP) تمنع سرقة ملفات تعريف الارتباط الخاصة بجلسات n8n، إلا أنها لا تمنع تنفيذ النصوص البرمجية أو التلاعب بإجراءات النماذج.

قم بالتحديث إلى الإصدار 1.123.25 أو أحدث.

قم بالتحديث إلى الإصدار 2.11.2 أو أحدث.

قم بتقييد أذونات إنشاء وتحرير سير العمل على المستخدمين الموثوق بهم تمامًا فقط.

قم بتعطيل عقدة Form Trigger عن طريق إضافة n8n-nodes-base.formTrigger إلى متغير البيئة NODES EXCLUDE.