CVE-2026-72772

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.32.1 n8n versões anteriores a 2.31.5

Description O recurso Token Exchange Embed Login permite a tomada de controle de contas. O problema ocorre quando um token recebido e assinado validamente é correspondido a uma conta local por meio de sua reivindicação de e-mail, mas o serviço não verifica se a reivindicação de e-mail foi verificada ou se o teto de função permitido da chave confiável cobre essa conta. Consequentemente, um invasor que obtenha um token aceito por uma chave confiável configurada, como um emissor confiável que emite endereços de e-mail não verificados, pode se autenticar como qualquer usuário existente e obter controle total da conta. Este problema afeta apenas instâncias onde o recurso de login incorporado está habilitado e pelo menos uma fonte de chave confiável está configurada.

Recommendations Atualize para a versão 2.32.1 ou posterior. Atualize para a versão 2.31.5 ou posterior. Como mitigação temporária, desative o recurso de login incorporado ou remova as fontes de chaves confiáveis configuradas.