PT-2026-63350
CVE-2026-65592
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.64
إصدارات n8n الأقدم من 2.29.8
إصدارات n8n الأقدم من 2.30.1
الوصف
توجد ثغرة في مكون «محدد موقع الموارد» (Resource Locator) تتعلق بـ«البرمجة النصية عبر المواقع» (XSS) المخزنة في DOM. يقوم المكون بتمرير المعلمة
cachedResultUrl، التي يتم الاحتفاظ بها في سير العمل، إلى الدالة window.open() دون التحقق من صحة المخطط. يمكن للمهاجم الذي يتمتع بامتيازات إنشاء أو تعديل سير العمل تضمين مخطط ضار، مثل javascript:، في المتغير cachedResultUrl. وعندما يفتح الضحية سير العمل المصمم خصيصًا ويتفاعل مع الروابط الخارجية، يتم تنفيذ الحمولة الضارة داخل متصفح الضحية.التوصيات
التحديث إلى الإصدار 1.123.64 أو أحدث.
التحديث إلى الإصدار 2.29.8 أو أحدث.
التحديث إلى الإصدار 2.30.1 أو أحدث.
تقييد أذونات إنشاء وتحرير سير العمل على المستخدمين الموثوق بهم تمامًا فقط.
فحص سير العمل الحالي بحثًا عن قيم
cachedResultUrl غير متوقعة تحتوي على أنظمة غير HTTP(S).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾