Katalog podatności CVE

n8n w wersjach przed 2.41.5 oraz 2.42.x przed 2.42.2 przekazuje pełny kontekst wykonania nieudanego workflow, w tym tożsamość użytkownika, który uruchomił przebieg, do skonfigurowanego workflow błędów. Edytor projektu może ustawić workflow błędów współpracownika na własny, przejąć tożsamość współpracownika i uzyskać dostęp do jego dynamicznych sekretów poświadczeń.

n8n w wersjach przed 1.123.85, 2.x przed 2.43.5 i 2.44.x przed 2.44.1 przechowuje sekrety poświadczeń w danych błędów wykonania, gdy operacje w węzłach Git, MongoDB Atlas Vector Store i Google Cloud Storage kończą się niepowodzeniem. Użytkownicy mogący przeglądać wykonania workflow, ale niemający dostępu do poświadczenia, mogą odzyskać hasła lub tokeny Git, hasła do baz MongoDB lub tokeny dostępu Google.

n8n w wersjach przed 1.123.85, 2.43.5 i 2.44.1 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym członkom na użycie niedostępnych dla nich poświadczeń poprzez wbudowane węzły podprocesów z nieboolowskimi wartościami disabled. Atakujący znający identyfikator poświadczenia może uruchomić węzły Execute Workflow w trybie inline JSON, które pomijają sprawdzenie uprawnień i wysyłają odszyfrowane poświadczenia na serwery kontrolowane przez atakującego.

n8n w wersjach przed 1.123.85, 2.x przed 2.43.5 oraz 2.44.x przed 2.44.1 zawiera lukę wstrzyknięcia OData $filter w węzłach wyszukiwania kontaktów Microsoft Outlook i aktualizacji elementów Microsoft SharePoint v1, które budują literały $filter z parametrów podlegających wiązaniu wyrażeń bez escapowania. Atakujący dostarczający niezaufane dane wejściowe do takich workflowów może wstrzyknąć apostrofy, aby zrzucić całą listę kontaktów powiązanej skrzynki pocztowej lub przekierować zapisy SharePoint na nieoczekiwane elementy listy w zakresie przechowywanych poświadczeń.

n8n w wersjach przed 1.123.85, 2.43.5 i 2.44.1 zawiera obejście autoryzacji w Chat Hub. Użytkownicy z rolą global:chatUser mogą rejestrować zastrzeżone typy narzędzi i uruchamiać je przez czat, wykonując kod w sandboxie, uzyskując dostęp do dozwolonych plików oraz korzystając z workflow, Data Tables i agentów instancji.

Luka path traversal pozwala zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu jako root w Sophos UTM (wszystkie wersje) po wygraniu wyścigu poprzez powtarzanie ataków przez kilka minut, gdy proxy poczty jest używane z włączonym skanowaniem. Sophos UTM jest wycofany z eksploatacji, a poprawkę należy zainstalować ręcznie.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w ExtractIPFromRealIPHeader, który waliduje nagłówek X-Real-IP podany przez klienta zamiast bezpośredniego peera sieciowego. Klient może podać adres loopback lub prywatny i uzyskać sfałszowaną tożsamość z Context.RealIP.

W frameworku Echo (Go) od wersji 4.0.0 do 4.16.1 oraz w wersji 5.4.1 middleware Proxy wybiera surowy tunel z żądania WebSocket klienta przed weryfikacją, czy skonfigurowany upstream zaakceptował upgrade. Jeśli upstream odrzuci upgrade zwykłą odpowiedzią keep-alive, kolejne żądania HTTP na tym połączeniu trafiają bezpośrednio do upstreamu z pominięciem routera Echo i middleware tras. Może to obejść uwierzytelnianie lub autoryzację egzekwowane wyłącznie przez trasy Echo.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w middleware BodyDump, który może odrzucić błąd przekroczenia BodyLimit dla żądania o nieznanej długości, gdy limit przechwytywania BodyDump jest niższy niż próg BodyLimit. Żądanie HTTP/1.1 chunked może zostać obcięte i przetworzone mimo przekroczenia limitu.

Echo to framework webowy w Go. Od wersji 4.15.0 do 4.16.1 i 5.4.1 middleware Proxy w Echo może zatrzymywać handler, kopiować gorutyny i połączenia sieciowe po rozłączeniu klienta WebSocket, gdy upstream utrzymuje otwarte połączenie. Surowy proxy czeka na oba kierunki kopiowania bez niezawodnego zamykania połączenia peera, gdy jeden kierunek się kończy, w tym gdy odrzucona odpowiedź upgrade używa HTTP keep-alive. Powtarzane połączenia mogą gromadzić zasoby i powodować odmowę usługi, w zależności od dostępności trasy proxy, zachowania upstream i terminów połączeń. Problem naprawiono w wersjach 4.16.1 i 5.4.1.

Echo to framework webowy w Go. Od wersji 4.0.0 do 4.16.1 opcjonalne middleware Decompress w Echo v4 udostępnia strumień żądania zdekodowany gzipem bez ograniczania jego rozmiaru po dekompresji. Małe skompresowane żądanie może rozwinąć się do bardzo dużego ciała, gdy handler je odczytuje lub wiąże, zużywając nadmierną pamięć lub CPU i pozwalając powtarzanym lub równoległym żądaniom powodować odmowę usługi. Middleware nie jest domyślnie włączone, a ograniczanie tylko skompresowanego rozmiaru żądania nie ogranicza rozmiaru po dekodowaniu. Problem naprawiono w wersji 4.16.1.

Echo to framework webowy w Go. Od wersji 4.0.0 do 4.16.1 opcjonalne middleware BodyDump w Echo v4 odczytuje pełne ciała żądań do pamięci przed uruchomieniem handlerów i zachowuje pełne ciała odpowiedzi dla callbacku dump bez limitów przechwytywania. Nieuwierzytelniony klient, który może dotrzeć do trasy używającej BodyDump, może przesyłać duże ciała lub wpływać na duże odpowiedzi, powodując powtarzane lub równoległe alokacje wyczerpujące pamięć procesu. BodyDump nie jest domyślnie włączone, a zewnętrzne limity żądań mogą zmniejszyć ekspozycję po stronie żądania, ale nie ograniczają przechwytywania odpowiedzi. Problem naprawiono w wersji 4.16.1.

opentelemetry-java w wersjach przed 1.67.0 ma podatność w W3CTraceContextPropagator.extract(), gdzie przetwarzanie separatorów regex może wykazywać kwadratowe cofanie się przy parsowaniu nagłówków tracestate zawierających długie ciągi spacji lub tabulatorów bez następującego przecinka. Nieuwierzytelniony atakujący może blokować wątki i powodować nadmierne zużycie CPU.

W bibliotece i18next-http-backend przed wersją 4.0.4 funkcja interpolateUrl wstawia niezakodowane wartości języka i przestrzeni nazw do szablonów loadPath lub addPath, nie odrzucając separatorów zapytań &, = i ;. Gdy szablon umieszcza lng lub ns w ciągu zapytania, a atakujący kontroluje tę wartość, może dodawać lub nadpisywać parametry żądań tłumaczeń, potencjalnie ujawniając inne przestrzenie nazw lub tenantów. Podatność wynika z niekompletnej poprawki CVE-2026-41691 i została naprawiona w wersji 4.0.4.

Vue I18n to plugin internacjonalizacji dla Vue.js. Od wersji 11.1.10 do 11.4.14 oraz od 12.0.0-alpha.4 do 12.0.0-alpha.5 funkcja sanitizeTranslatedHtml() escapuje znaczniki i tekst obsługi zdarzeń wewnątrz wartości srcdoc iframe, ale pozostawia atrybut srcdoc aktywny. Przeglądarki dekodują odwołania znakowe i parsują wartość jako zagnieżdżony dokument HTML w tej samej domenie, pozwalając kontrolowanym przez atakującego parametrom lub treści tłumaczenia umieszczonym w srcdoc na wykonanie skryptu, gdy aplikacje włączą escapeParameter i renderują tłumaczenia jako HTML przez v-html. Wersje 9.14.5 i 10.0.8 są również podatne i nie są już wspierane, natomiast renderowanie i18n-t nie jest podatne. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

W wtyczce Vue I18n od wersji 9.0.0-beta.5 do 11.4.14 oraz w 12.0.0-alpha.5 włączenie escapeParameter (escapeParameterHtml w Legacy API) nie escapuje nazwanych wartości interpolacji, gdy to samo wywołanie tłumaczenia dostarcza zarówno wartości listowe, jak i nazwane, ponieważ escapeParams() przetwarza tylko gałąź listową. Aplikacje renderujące tłumaczenia jako HTML i przekazujące niezaufane nazwane wartości wraz z listą mogą wstawiać znaczniki kontrolowane przez atakującego, w tym linki phishingowe, formularze i zmiany układu, a w połączeniu z obejściem sanitizera srcdoc lub w wersjach bez sanitizera umożliwić wykonanie skryptu. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid stosuje credits.href do linku credits bez walidacji schematu URL. Atakujący kontrolujący konfigurację Grid może podać URL javascript, a aktywacja linku credits uruchamia skrypt w origin strony hostingowej z dostępem do danych i stanu sesji aplikacji. Problem naprawiono w Grid Pro 3.2.0.

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 2.0.0 do 3.2.0 Highcharts Grid zapisuje ciągi językowe paginacji do DOM jako znaczniki zamiast tekstu. Atakujący kontrolujący konfigurację języka Grid może podać elementy z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolek paginacji. Wykorzystanie wymaga włączenia paginacji, ale nie wymaga dodatkowej interakcji użytkownika. Problem naprawiono w wersji 3.2.0.

Highcharts JS to biblioteka wykresów JavaScript oparta na SVG. Od wersji 1.0.0 do 4.2.3 tryb edycji Highcharts Dashboards parsuje etykiety językowe pełnego ekranu jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący opcje językowe Dashboards może dostarczyć znaczniki z obsługą zdarzeń, które wykonują się w origin strony hostingowej podczas renderowania kontrolki pełnego ekranu. Etykieta jest osiągalna tylko gdy tryb edycji jest włączony, a viewFullscreen znajduje się w elementach menu kontekstowego. Problem naprawiono w wersji 4.2.3.

W bibliotece Highcharts Dashboards pasek boczny trybu edycji interpretuje ciągi językowe komponentów jako HTML zamiast wstawiać je jako tekst. Atakujący kontrolujący konfigurację języka może dostarczyć znaczniki z obsługą zdarzeń, które wykonają się w kontekście strony hosta po otwarciu paska bocznego. Problem naprawiono w wersji 4.2.3.