PT-2026-63355
CVE-2026-65597
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.64
إصدارات n8n الأقدم من 2.29.8
إصدارات n8n الأقدم من 2.30.1
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع (XSS) قائمة على DOM في معاينة HTML، والتي تعرض ناتج التنفيذ في
iframe srcdoc بدون السمة sandbox. ويسمح تجاوز أداة التنقية بتنفيذ البرامج النصية المُحقنة بنفس مصدر المحرر. وهذا يمكّن الحساب الذي يتمتع بامتيازات global:member من استدعاء واجهات برمجة التطبيقات (API) المصادق عليها باستخدام جلسة عمل الضحية عند فتح المعاينة.التوصيات
التحديث إلى الإصدار 1.123.64 أو أحدث.
التحديث إلى الإصدار 2.29.8 أو أحدث.
قم بالتحديث إلى الإصدار 2.30.1 أو أحدث.
قم بتقييد الوصول إلى المثيل على المستخدمين الموثوق بهم تمامًا فقط.
اضبط متغير البيئة
N8N CONTENT SECURITY POLICY على سياسة تحظر البرامج النصية المضمنة.تجنب تعريض سير العمل الذي يعرض مدخلات خاضعة للتحكم الخارجي في عقدة HTML أو معاينة HTML الثنائية للمستخدمين غير الموثوق بهم.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾