🇰🇷 한글 설명
n8n 2.41.4 미만 및 2.42.x 2.42.1 미만 버전에서 에이전트 생성 엔드포인트의 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 다른 프로젝트의 에이전트 ID를 입력하면, 해당 에이전트의 소유권을 확인하지 않고 자신의 프로젝트로 이동시키거나 이름, 스키마, 버전을 수정할 수 있습니다.
💡 쉬운 설명
권한이 제한된 사용자가 다른 사람이 만든 설정을 몰래 가져와서 자기 것처럼 바꾸거나 수정할 수 있는 보안 결함입니다. 이를 통해 다른 프로젝트의 중요한 자동화 설정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
n8n before 2.41.4 and 2.42.x before 2.42.1 contains an authorization bypass in the Agents create endpoint, which accepts a caller-supplied Agent ID, checks permissions only against the requested project, and updates an existing Agent without verifying which project owns it. An authenticated user with read-only Agent access to another project can supply an existing Agent ID to move that Agent into their own project and rewrite its name, schema and version.
📍 영향받는 시스템
n8n versions before 2.41.4 and 2.42.x before 2.42.1
⚔️ 공격 벡터
인증된 사용자가 조작된 Agent ID를 포함한 요청을 생성 엔드포인트로 전송하여 권한 검증을 우회함
🛡️ 대응 방법
n8n을 2.41.4 또는 2.42.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전이 취약한 범위(2.41.4 미만 또는 2.42.1 미만)에 해당하는지 확인하십시오.
n8n --version 2>/dev/null || npm list n8n | grep n8n
💻 영향받는 소프트웨어
IBM Security Verify Access