PT-2026-63356
CVE-2026-65598
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.64
إصدارات n8n الأقدم من 2.29.8
إصدارات n8n الأقدم من 2.30.1
الوصف
توجد حالة تنافس TOCTOU (من وقت الفحص إلى وقت الاستخدام) في عملية
clone الخاصة بعقدة Git. يحدث هذا عندما يقوم مستخدم معتمد باستبدال دليل برابط رمزي بعد التحقق من صحة المسار ولكن قبل تنفيذ عملية النسخ، مما يسمح له بتجاوز قيود المسار. يمكن للمهاجم استغلال هذه الثغرة لوضع مستودع مُعدّ خصيصًا في دليل عقدة المجتمع. ونظرًا لأن n8n يقوم بتحميل هذه العقد كعقد مخصصة عند إعادة التشغيل وتنفيذ جافا سكريبت الخاص بها، فإن هذا يؤدي إلى تنفيذ تعليمات برمجية تعسفية على الخادم. تتأثر كل من المثيلات ذاتية الاستضافة والمثيلات السحابية.التوصيات
قم بالتحديث إلى الإصدار 1.123.64 أو أحدث.
قم بالتحديث إلى الإصدار 2.29.8 أو أحدث.
قم بالتحديث إلى الإصدار 2.30.1 أو أحدث.
قم بتعطيل عقدة Git عن طريق إضافة
n8n-nodes-base.git إلى متغير البيئة NODES EXCLUDE.قم بتقييد الوصول إلى مثيل n8n على المستخدمين الموثوق بهم تمامًا فقط.
قم بتقييد حركة مرور الشبكة الصادرة من مثيل n8n لمنع الاتصالات بمستودعات git التي يسيطر عليها المهاجم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾