CVE-2026-72766

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 1.123.67 n8n versões 2.x anteriores a 2.31.5 n8n versões 2.32.x anteriores a 2.32.1

Description Um problema de confusão de tipos existe no nó Send Email porque os campos de mensagem não são estritamente aplicados como strings. Se um valor não-string manipulado for fornecido via expressão de fluxo nos campos de corpo de texto ou HTML, a biblioteca de e-mail subjacente (Nodemailer) pode interpretá-lo como um caminho de arquivo ou URL. Isso pode levar à divulgação arbitrária de arquivos locais e ao server-side request forgery (SSRF), que é uma técnica usada para induzir o servidor a fazer requisições para um local não pretendido. A exploração requer uma configuração específica não padrão: um fluxo ativo com um webhook não autenticado, credenciais SMTP válidas e entrada não confiável mapeada diretamente no campo de corpo.

Recommendations Atualize para a versão 1.123.67 ou posterior. Atualize para a versão 2.31.5 ou posterior para o ramo 2.x. Atualize para a versão 2.32.1 ou posterior para o ramo 2.32.x.