PT-2026-146668

CVE-2026-126382

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.38.0 n8n versões 3.x anteriores a 3.0.1

Description O Asana Trigger apresenta falta de autenticação, permitindo a aceitação de um novo segredo de verificação de webhook de qualquer requisição que contenha o cabeçalho X-Hook-Secret. Um invasor não autenticado que conheça a URL do webhook pode substituir o segredo e enviar eventos do Asana forjados. Esses eventos passam na verificação de assinatura, permitindo que o invasor acione fluxos de trabalho com dados controlados, resultando na rejeição de entregas legítimas.

Recommendations Atualize o n8n para a versão 2.38.0 ou posterior. Atualize o n8n para a versão 3.0.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Har1Sh-K

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function

Identificadores relacionados