🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼의 @n8n/n8n-nodes-langchain.chatTrigger 노드에서 저장형 XSS 취약점이 발견되었습니다. 권한이 있는 사용자가 initialMessages 필드에 악성 자바스크립트를 삽입하고 공개 액세스를 활성화하면, 해당 채팅 URL을 방문하는 모든 사용자의 브라우저에서 페이로드가 실행될 수 있습니다. 이 취약점은 피싱 공격이나 쿠키 및 민감한 데이터 탈취에 악용될 수 있습니다.
💡 쉬운 설명
채팅창 설정에 몰래 악성 코드를 심어두어, 해당 채팅 링크를 클릭하는 사람의 정보를 훔칠 수 있는 보안 약점입니다. 공격자는 이를 통해 사용자의 로그인 정보나 개인 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. From 1.24.0 to before 1.107.0, there is a stored cross-site scripting (XSS) vulnerability in @n8n/n8n-nodes-langchain.chatTrigger. An authorized user can configure the LangChain Chat Trigger node with malicious JavaScript in the initialMessages field and enable public access so that the payload is executed in the browser of any user who visits the resulting public chat URL. This can be used for phishing or to steal cookies or other sensitive data from users accessing the public chat link. The issue is fixed in version 1.107.0. Updating to 1.107.0 or later is recommended. As a workaround, the affected chatTrigger node can be disabled. No other workarounds are known.
📍 영향받는 시스템
n8n 버전 1.24.0 이상 1.107.0 미만
⚔️ 공격 벡터
권한이 있는 사용자가 LangChain Chat Trigger 노드의 initialMessages 필드에 악성 스크립트를 삽입하여 공개 채팅 URL을 통해 공격
🛡️ 대응 방법
n8n 버전을 1.107.0 이상으로 업데이트하거나, 문제가 되는 chatTrigger 노드를 비활성화하십시오.
🔧 검증 코드
출력된 n8n 버전이 1.24.0 이상 1.107.0 미만인지 확인하십시오.
n8n --version 2>/dev/null || npm list -g n8n | grep n8n