PT-2026-63353
CVE-2026-65595
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 2.30.1
إصدارات n8n الأقدم من 2.29.8
الوصف
تقوم وحدة ”Token Exchange“ بتعيين جميع نطاقات مفاتيح واجهة برمجة التطبيقات العامة (Public API) إلى رموز JSON Web Tokens (JWT) الصادرة، متجاهلة الدور الفعلي للمستخدم الذي يقوم بهذه العملية. في البيئات التي يتم فيها تمكين ميزة ”Token Exchange“ وواجهة برمجة التطبيقات العامة (Public API)، يمكن لمستخدم ذي امتيازات منخفضة يمتلك رمز JWT خارجي صالحًا صادرًا عن جهة إصدار موثوقة استخدام رمز الوصول الناتج لتنفيذ عمليات واجهة برمجة التطبيقات العامة (Public API) المخصصة للمسؤولين فقط، بما في ذلك إنشاء المستخدمين وحذفهم وترقية الأدوار. علاوة على ذلك، إذا تم تمكين تثبيت حزم المجتمع غير المُثبتة، فقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد.
التوصيات
قم بالتحديث إلى الإصدار 2.30.1 أو أحدث.
قم بالتحديث إلى الإصدار 2.29.8 أو أحدث.
قم بتعطيل ميزة «تبادل الرموز» (Token Exchange) عن طريق تعيين
N8N TOKEN EXCHANGE ENABLED=false أو N8N ENV FEAT TOKEN EXCHANGE=false.قم بتقييد الوصول إلى واجهة برمجة التطبيقات العامة (Public API) على مستوى الشبكة ليقتصر على العملاء الموثوق بهم فقط.
قم بتعطيل تثبيت حزم المجتمع غير المتحقق منها عن طريق تعيين
N8N UNVERIFIED PACKAGES ENABLED=false.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾