PT-2026-63346
CVE-2026-65016
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.64
إصدارات n8n الأقدم من 2.29.8
إصدارات n8n الأقدم من 2.30.1
الوصف
توجد مشكلة تتعلق بتصعيد الامتيازات في عملية تخصيص أدوار المثيلات في نظام تسجيل الدخول الموحد (SSO) الخاص بـ Enterprise. يقوم مسار التخصيص بتعيين مطالبة الدور التي يؤكدها مزود الهوية (IdP) إلى دور عالمي في n8n، لكنه يفشل في منع تعيين الدور
global:owner. ونتيجة لذلك، يتم تخصيص المستخدم المصادق عليه عبر SSO، والذي تُحل مطالبة دوره في المثيل إلى global:owner، كمالك للمثيل، مما يمنحه سيطرة إدارية كاملة على سير العمل وبيانات الاعتماد والمستخدمين وتكوين المثيل. يمكن استغلال هذه المشكلة عندما يتم تكوين Enterprise SSO وتمكين توفير أدوار المثيلات عبر المتغير N8N SSO SCOPES PROVISION INSTANCE ROLE. يتطلب الاستغلال أن يتحكم المهاجم في قيمة مطالبة دور المثيل الصادرة عن مزود الهوية (IdP).التوصيات
قم بالتحديث إلى الإصدار 1.123.64 أو أحدث.
قم بالتحديث إلى الإصدار 2.29.8 أو أحدث.
قم بالتحديث إلى الإصدار 2.30.1 أو أحدث.
قم بتعطيل توفير أدوار المثيلات عن طريق إلغاء تعيين أو تعيين
N8N SSO SCOPES PROVISION INSTANCE ROLE=false.قم بمراجعة تعيينات مطالبات مزود الهوية (IdP) للتأكد من عدم وجود أي سمة يمكن للمستخدم التحكم فيها قادرة على توفير قيمة مطالبة دور المثيل.
قم بتقييد الوصول عبر SSO على المستخدمين الموثوق بهم تمامًا فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾