n8n — это платформа автоматизации рабочих процессов с открытым исходным кодом. До версий 1.123.22, 2.9.3 и 2.10.1 аутентифицированный пользователь с разрешением на создание или изменение рабочих процессов мог использовать средство выполнения задач JavaScript для выделения неинициализированных буферов памяти. Неинициализированные буферы могут содержать остаточные данные одного и того же процесса Node.js, включая данные предыдущих запросов, задач, секретов или токенов, что приводит к раскрытию информации о конфиденциальных внутрипроцессных данных.
Средства запуска задач должны быть включены с помощью `N8N_RUNNERS_ENABLED=true`. В режиме внешнего исполнителя воздействие ограничивается данными внутри процесса внешнего исполнителя. Проблема исправлена в версиях n8n 1.123.22, 2.10.1 и 2.9.3.
Пользователям следует обновиться до этой версии или более поздней, чтобы устранить уязвимость. Если обновление невозможно немедленно, администраторам следует рассмотреть следующие временные меры: Ограничить разрешения на создание и редактирование рабочего процесса только полностью доверенными пользователями и/или использовать внешний режим запуска (`N8N_RUNNERS_MODE=external`) для изоляции процесса запуска. Эти обходные пути не полностью устраняют риск и должны использоваться только в качестве краткосрочных мер по снижению риска.
Показать оригинальное описание (EN)
n8n is an open source workflow automation platform. Prior to versions 1.123.22, 2.9.3, and 2.10.1, an authenticated user with permission to create or modify workflows could use the JavaScript Task Runner to allocate uninitialized memory buffers. Uninitialized buffers may contain residual data from the same Node.js process — including data from prior requests, tasks, secrets, or tokens — resulting in information disclosure of sensitive in-process data. Task Runners must be enabled using `N8N_RUNNERS_ENABLED=true`. In external runner mode, the impact is limited to data within the external runner process. The issue has been fixed in n8n versions 1.123.22, 2.10.1 , and 2.9.3. Users should upgrade to this version or later to remediate the vulnerability. If upgrading is not immediately possible, administrators should consider the following temporary mitigations: Limit workflow creation and editing permissions to fully trusted users only, and/or use external runner mode (`N8N_RUNNERS_MODE=external`) to isolate the runner process. These workarounds do not fully remediate the risk and should only be used as short-term mitigation measures.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
— |
1.123.22
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
2.0.0
|
2.9.3
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:2.10.0:*:*:*:*:node.js:*:*
|
— | — |