n8n heeft meerdere kwetsbaarheden verholpen in het n8n workflow automation platform, specifiek in versies voor 1.123.55, 2.24.0, 2.25.7, 2.26.1 en 2.26.2. De kwetsbaarheden bereffen verschillende onderdelen van het n8n platform. Geuthenticeerde gebruikers met workflow bewerkingsrechten kunnen onder andere Content-Security-Policy (CSP) omzeilen via de Respond to Webhook node, en JavaScript injecteren via de Chat Trigger node. Verder kunnen zij API-tokens exfiltreren via de SecurityScorecard node en credentials van andere gebruikers benaderen, overschrijven of intrekken via de Dynamic Credentials feature. Ook kunnen gebruikers met editor toegang tot gedeelde workflows credentials van anderen inzien door onvoldoende eigendomcontroles.
Ongeauthenticeerde aanvallers kunnen via de MicrosoftAgent365Trigger en StripeTrigger nodes valse payloads indienen, wat leidt tot uitvoering van workflows met kwaadaardige data.Bron: NCSC Security Advisories