PT-2026-63345
CVE-2026-65015
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 2.30.1
الوصف
توجد مشكلة في تصعيد الصلاحيات في ميزة «وكلاء الذكاء الاصطناعي» (AI Agents)، حيث تفتقر أداة تنفيذ العقد إلى عمليات التحقق المناسبة من الصلاحيات. يمكن للمستخدم الذي يحمل دور «مشاهد المشروع» (Project Viewer) تصعيد صلاحياته من خلال التفاعل مع وكيل تم تمكين أدوات العقد لديه. لم يتم تفويض الأداة إلا من خلال نطاق
agent:execute، وكانت تُنفذ العقد باستخدام بيانات اعتماد المشروع دون التحقق مما إذا كان المستخدم الطالب يمتلك الإذن لتنفيذ تلك العقد أو الوصول إلى بيانات الاعتماد. وهذا يسمح لـ «مشاهد المشروع» بتنفيذ عقد أدوات عشوائية والوصول إلى أسرار بيانات الاعتماد غير المصرح بها. إذا تم تمكين عقد أدوات قادرة على تنفيذ الأوامر أو التعامل مع الملفات، مثل «تنفيذ الأمر» (Execute Command) أو «SSH»، فقد يؤدي ذلك إلى تنفيذ أوامر عشوائية على الخادم المضيف.التوصيات
قم بالتحديث إلى الإصدار 2.29.8 أو 2.30.1.
قم بتعطيل وحدة «وكلاء الذكاء الاصطناعي» (AI Agents) عن طريق إزالة
agents من متغير البيئة N8N ENABLED MODULES.قصر عضوية المشروع على المستخدمين الموثوق بهم تمامًا وتجنب منح حق الوصول كـ «مشاهد المشروع» (Project Viewer) للمستخدمين غير الموثوق بهم في المشاريع التي تحتوي على وكلاء تم تمكين أدوات العقد لديهم.
قم بتعطيل عقد تنفيذ الأوامر، مثل «تنفيذ الأمر» (Execute Command) أو «SSH»، للحد من التأثير المحتمل.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾