n8n до 1.123.69, 2.x до 2.33.4 и 2.34.x до 2.34.1 содержат уязвимость отказа в обслуживании регулярных выражений (ReDoS) в узлах Filter и Switch, которые компилируют предоставленные пользователем шаблоны регулярных выражений с помощью нового RegExp() и выполняют их синхронно в рабочем потоке без проверки сложности или тайм-аута выполнения. Созданный шаблон регулярного выражения может блокировать рабочий процесс на длительный период для каждого обработанного элемента данных, задерживая выполнение других рабочих процессов на том же рабочем процессе.
Показать оригинальное описание (EN)
n8n before 1.123.69, 2.x before 2.33.4, and 2.34.x before 2.34.1 contains a regular expression denial of service (ReDoS) vulnerability in the Filter and Switch nodes, which compile user-supplied regex patterns with new RegExp() and execute them synchronously on the worker thread without complexity validation or execution timeout. A crafted regex pattern can block the worker for an extended period per data item processed, delaying other workflow executions on the same worker.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 6
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:*:*:*
|
— |
1.123.69
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:*:*:*
|
— |
2.34.1
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:*:*:*
|
— |
2.33.4
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
— |
1.123.69
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
2.0.0
|
2.33.4
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:2.34.0:*:*:*:*:node.js:*:*
|
— | — |